[{"content":" TL;DR - Bu kılavuzda öğrenecekleriniz:\nGrapheneOS, iyi yapılandırılmış standart (stock) Android ve alternatif ROM\u0026rsquo;lar arasında nasıl seçim yapılacağı, Google servislerinin yerine hangi gizlilik odaklı uygulamaların tercih edilebileceği, Takip eden uygulamaların Shelter ile nasıl izole edileceği ve veri trafiğinin Tor ile nasıl korunacağı, Uygulama izinlerinin, VPN servislerinin ve bulut depolamanın nasıl güvenli şekilde yönetileceği. Özet Android cihazları daha gizli hale getirmek için desteklenen bir Google Pixel cihazda GrapheneOS kullanmak, yüklenen uygulama sayısını azaltmak, izinleri ve internet erişimini sınırlandırmak, takip eden uygulamaları izole profillere ayırmak ve güvenilir uygulama mağazalarını tercih etmek gerekir. Google servislerinden arındırma (de-googling), gizliliği önemli ölçüde artırsa da sistem güncellemelerinin, güvenli önyüklemenin (verified boot) ve güvenli kullanım alışkanlıklarının yerini tutamaz.\nAkıllı telefonlar kullanıcılar hakkında neredeyse her şeyi bilir: gidilen yerler, iletişim kurulan kişiler ve yapılan aramalar bunlardan yalnızca birkaçıdır. Android cihazlara yüklü uygulamalar, her gün kişisel verileri sessizce Google\u0026rsquo;a ve onlarca üçüncü taraf şirkete gönderir. Bu kılavuz, günlük kullanım kolaylığından ödün vermeden Google\u0026rsquo;a bağımlılığı ortadan kaldırmayı ve gerçekten gizli bir mobil ortam kurarak cihazın kontrolünü nasıl geri alacağınızı açıklamaktadır.\nBu kılavuz, kullanıcıların geri bildirimlerine ve önerilerine açıktır. Burada, kullanılabilirlik ve gizlilik arasında en iyi dengeyi sunan bir kurulum ele alınmaktadır. İlerleyen süreçte, belirli uygulamalarla sorun yaşayanlar için alternatif çözümler eklenerek içerik genişletilecektir. Öneride bulunmak veya katkı sağlamak isterseniz GitHub üzerinden bir çekme isteği (pull request) gönderebilirsiniz.\nBu kılavuz Android\u0026rsquo;i genel olarak ele almaktadır. Özel olarak GrapheneOS işletim sistemini inceleyen rehbere buradan ulaşabilirsiniz.\nİşletim Sistemi Güvenlik ve gizlilik dengesi açısından mobil işletim sistemleri arasında şu şekilde bir hiyerarşi mevcuttur: desteklenen bir Pixel cihazda GrapheneOS \u0026gt; güncel ve iyi yapılandırılmış standart (stock) Android \u0026gt; bootloader kilidi açılmış alternatif ROM\u0026rsquo;lar. LineageOS, CalyxOS ve benzeri projeler Google bağımlılığını azaltmak için faydalı olsa da güvenlik sıkılaştırması (hardening) ve donanım güvenliği standartları açısından GrapheneOS seviyesinde değildir.\nBu nedenle, mümkünse GrapheneOS kullanılması önerilmektedir. Cihazınız desteklenmiyorsa LineageOS gibi alternatifler değerlendirilebilir; ancak güvenli önyükleme (verified boot), hızlı güvenlik yamaları ve fiziksel saldırılara karşı koruma gibi konularda bazı ödünler verilmesi gerektiği unutulmamalıdır.\nBu kılavuz, cihazı kullanırken güvenlik ve gizlilik arasında en iyi dengeyi sağlamak amacıyla hazırlanmıştır. Root yetkisi alma (rooting) ve önyükleyici (bootloader) kilidini açma gibi işlemler cihazın temel güvenlik mekanizmalarını zayıflattığı için önerilmemektedir.\nAlternatif bir ROM (örneğin LineageOS) kurulum adımlarının kısa özeti şu şekildedir:\nBootloader kilidini açın. Özel bir kurtarma modu (recovery) yükleyin. LineageOS yazılımını cihaza yükleyin (flash). Cihazınız destekliyorsa bootloader kilidini tekrar kapatın. Dikkat: Google uygulamalarını içermeyen temel sürümler gizlilik açısından önceliklidir. microG kullanımı uygulama uyumluluğunu artırsa da güvenlik açısından bir ödün niteliğindedir. GrapheneOS üzerinde, Google servislerine bağımlı uygulamaların çalıştırılması gerekiyorsa, kararsız alternatifler aramak yerine ilgili profilde yalıtılmış (sandboxed) Google Play servislerinin kullanılması daha kararlı ve güvenli bir yaklaşımdır.\nSistem İnce Ayarları ve Kurulumu Gizlilik odaklı bir cihaza sahip olmak için işletim sisteminde bazı yapılandırma değişiklikleri yapılması gerekir. Cihaz modeline göre menü isimleri değişebilse de temel olarak şu önlemler alınmalıdır:\nBluetooth ve konum servislerini kullanılmadığı zamanlarda kapalı tutun. Güvenli PIN kullanımı ve kilit ekranında bildirim içeriklerinin gizlenmesini sağlayın. Tüm telemetri verisi gönderimlerini devre dışı bırakın. Devre dışı ise cihaz şifrelemeyi (encryption) etkinleştirin. Google veya diğer üretici bulut yedeklemelerini kapatın. Yüklü uygulamaların ilk açılışında telemetri ve hata raporu paylaşım izinlerini reddedin. Ciddi güvenlik riskleri oluşturabileceğinden, USB hata ayıklama (USB debugging) özelliğini kullandıktan hemen sonra kapatın (varsayılan olarak kapalı tutulmalıdır). Uygulama Dağıtım Platformları Google Play Store kullanmadığımız bu kurulumda, uygulamaları güvenle indirebilmek için şu alternatif mağazalar tercih edilmelidir:\nObtainium : Bir uygulama mağazasından ziyade, uygulamaları doğrudan kaynaklarından (GitHub, GitLab vb.) çekerek güncel tutmanızı sağlayan açık kaynaklı bir araçtır. Üçüncü taraf aracıları aradan kaldırdığı için oldukça güvenlidir. Droid-ify : F-Droid deposu için geliştirilmiş modern ve hızlı bir arayüzdür. Geniş bir açık kaynaklı uygulama kütüphanesi sunar. GrapheneOS kullanıyorsanız, tescilli (proprietary) veya bankacılık gibi Google servislerine ihtiyaç duyan uygulamalar için en güvenli yol, yalıtılmış (sandboxed) Google Play Store kurulumudur. Aurora Store : Google Play Store\u0026rsquo;daki uygulamaları anonim olarak indirmenizi sağlayan bir istemcidir. Ancak Google\u0026rsquo;ın kısıtlamaları nedeniyle zaman zaman bağlantı sorunları yaşayabilmektedir. Uygulama Yalıtımı (Shelter) ⚠️ Not: Bu adım isteğe bağlıdır ve yalnızca cihazınızda yalıtılmış alanlar (konteynerler) oluşturmak istiyorsanız gereklidir. Android 15 ve sonraki sürümlerde, benzer bir işlevi gören \u0026lsquo;Özel Alan\u0026rsquo; (Private Space) özelliği yerleşik olarak sunulmaktadır. GrapheneOS üzerinde ise yalıtım sağlamanın en güvenli yöntemi ikincil kullanıcı profilleridir.\nUygulama mağazalarınızı yapılandırdıktan sonra dilerseniz Shelter uygulamasını kurabilirsiniz. Shelter, cihazda bir iş profili (work profile) oluşturarak ana profilden yalıtılmış ikinci bir çalışma alanı kurulmasını sağlayan açık kaynaklı bir uygulamadır.\nBu durum, aynı işletim sistemi üzerinde çalışan ancak birbirinin verilerine erişemeyen iki yalıtılmış alana benzer. Ancak cihazın orijinal işletim sistemi zaten Google servisleri ve izleyici uygulamalarla doluysa, Shelter kullanımı sınırlı bir koruma sağlayacaktır. İşletim sistemini değiştiremiyorsanız, en azından sistemle birlikte gelen istenmeyen uygulamaları devre dışı bırakmak için Universal Android Debloater aracı kullanılabilir. (Dikkat: Uygulamaları tamamen kaldırmak yerine devre dışı bırakmayı tercih edin; aksi takdirde şifrelenmiş sistemlerde kararlılık sorunları yaşanabilir).\nShelter başlatıldığında iş profili kurulum sihirbazı çalışacaktır. Kurulum tamamlandıktan sonra uygulama arayüzünde iki ana bölüm görünür:\nMain (Ana Profil): Yalnızca güvenilir, açık kaynaklı veya internet erişimine ihtiyaç duymayan uygulamaların kurulacağı alan. Shelter (İş Profili): Sosyal medya, bankacılık ve diğer kapalı kaynaklı uygulamaların yalıtılacağı alan. Her iki profil de yalıtılmış durumdadır. Ana profildeki uygulamalar normal simgelerle görünürken, iş profilindekiler küçük bir çanta/profil rozetiyle ayırt edilir. Uygulamaları ilgili profile yüklemek için şu yöntemler kullanılabilir:\nShelter arayüzünden bir uygulamayı profiller arasında klonlayabilirsiniz. Doğrudan ilgili profile kurulmuş olan uygulama mağazasını (örneğin iş profilinde Aurora Store veya Sandboxed Play Store) kullanabilirsiniz. İndirilen APK dosyalarını doğrudan ilgili profile yükleyebilirsiniz. Profiller tamamen yalıtıldığı için rehber, galeri ve dosya yönetimi gibi işlemler başlangıçta alışkanlık gerektirebilir; çünkü her profil kendi veri depolama alanına sahiptir. Shelter ayarlarından dosya paylaşım izni etkinleştirilerek profiller arası sınırlı veri aktarımı sağlanabilir.\nProfiller Arası Tehdit Modeli Yönetimi Birbirinden bağımsız iki profil oluşturulduktan sonra, her alan için farklı bir tehdit modeli uygulanabilir. Ana profilde (açık kaynaklı ve güvenli uygulamaların bulunduğu alan) veri trafiğini Tor ve DNSCrypt gibi protokollerle şifreleyerek üst düzey gizlilik sağlanabilir. İş profilinde ise (sosyal medya ve bankacılık gibi kapalı kaynaklı uygulamalar) verilerin izinsiz toplanmasını en aza indirmek amacıyla reklam ve izleyici engelleyiciler aktif hale getirilmelidir.\nÖncelikle ana profildeki veri trafiğini korumak amacıyla tüm bağlantıları Tor ağı üzerinden yönlendirleyen ve DNS sorgularını şifreleyen Invizible Pro uygulaması kurulmalıdır.\nUygulama açıldıktan sonra VPN modu aktif hale getirilmelidir. Ardından cihaz ayarlarından Ağ ve İnternet → VPN → Invizible Pro adımları takip edilerek \u0026lsquo;Her zaman açık VPN\u0026rsquo; ve \u0026lsquo;VPN dışındaki bağlantıları engelle\u0026rsquo; seçenekleri etkinleştirilmelidir. Böylece tüm veri trafiğinin yalıtılmış kanaldan geçmesi sağlanır.\nİnce ayarlar için Invizible Pro içerisinde şu yapılandırmalar önerilir:\nDNSCrypt Ayarları: require_dnssec, nolog ve nofilter seçeneklerini etkinleştirerek güvenli ve kayıtsız DNS sunucuları tercih edilebilir. Hızlı Ayarlar: Açılışta DNSCrypt'i başlat ve Açılışta Tor'u başlat seçenekleri aktif edilerek sistem açılışında otomatik çalışma sağlanabilir. Ortak Ayarlar (Common Settings): MITM attack detection altındaki koruma modları etkinleştirilerek güvensiz kablosuz ağlardaki (ortak Wi-Fi) tehditler engellenebilir. Güvenlik Duvarı (Firewall): İnternet erişimine ihtiyaç duymayan uygulamaların (galeri, çevrimdışı not defteri vb.) erişimi engellenebilir. Ana profil yapılandırıldıktan sonra, kapalı kaynaklı uygulamaların yer aldığı iş profilinin yönetimine geçebiliriz. Bu profilde veri sızıntılarını önlemek için şu yöntemler tercih edilebilir:\nTrafiği internet servis sağlayıcısından gizlemek ve izleyicileri engellemek amacıyla güvenilir bir VPN servisi kullanmak. Reklam ve izleyici engelleme amacıyla NetGuard, RethinkDNS veya NextDNS gibi araçlarla güvenlik duvarı oluşturmak. Önerilen Uygulamalar Cihaz güvenliğini ve gizliliğini artırmak için tercih edebileceğiniz açık kaynaklı bazı temel uygulamalar şunlardır:\nHeliBoard : Gboard\u0026rsquo;a mükemmel bir açık kaynak alternatif olan, tamamen çevrimdışı çalışan ve yazdıklarınızı hiçbir sunucuya göndermeyen güvenli klavye uygulaması. Cromite : Chromium tabanlı, reklam engelleyicili gizlilik odaklı tarayıcı. Mobil platformlarda güvenlik mimarisi nedeniyle Chromium tabanlı tarayıcılar, Firefox türevlerine kıyasla daha kararlı koruma sunmaktadır. Aegis : İki adımlı doğrulamalarınız (2FA) için çevrimdışı çalışan, güvenli ve şifreli veri tabanı sunan açık kaynaklı bir alternatif. AntennaPod : Reklamsız ve üyelik gerektirmeyen açık kaynaklı podcast istemcisi. Bitwarden : Güvenli ve açık kaynaklı şifre yöneticisi (kendi sunucunuzda barındırma desteği de mevcuttur). KeePassDX : Veritabanını tamamen yerel olarak saklamak isteyenler için KeePass (.kdbx) uyumlu şifre yöneticisi. Molly : Signal uygulamasının güvenlik sıkılaştırması (hardening) yapılmış ve Google servislerinden arındırılmış sürümü. Nekogram : Google servisleri olmadan da bildirim alabilen açık kaynaklı Telegram istemcisi (unutmayın, Telegram sohbetleri varsayılan olarak uçtan uca şifreli değildir). PipePipe : YouTube ve PeerTube içeriklerini Google hesabı olmadan izlemenizi sağlayan istemci. BlueWallet : Bitcoin işlemlerinizi güvenle yönetebileceğiniz açık kaynaklı cüzdan. SimpleLogin : Gerçek e-posta adresinizi gizlemek amacıyla geçici veya kalıcı e-posta yönlendiricileri oluşturan servis. Tor Browser : .onion uzantılı sitelere erişmek ve anonim gezinmek için resmi Tor tarayıcısı. Daha fazla gizlilik dostu uygulama ve servis önerisi için Privacy Guides platformunu ziyaret edebilirsiniz.\nE-posta İstemcileri ve Sağlayıcıları E-posta sağlayıcısı seçimi güvenlik modelinize bağlıdır. Kullanım kolaylığı ve uçtan uca şifreli yapısı nedeniyle Proton Mail oldukça popüler ve güvenli bir seçenektir.\nDaha bağımsız bir kurulum için istemci olarak Thunderbird uygulamasını, sağlayıcı olarak ise Riseup veya Autistici/Inventati gibi gizlilik odaklı kolektifleri tercih edebilirsiniz. Thunderbird üzerinde PGP anahtarlarınızı kullanarak e-postalarınızı doğrudan şifreleyebilirsiniz.\nUygulama İzinlerinin Yönetimi Uygulamaların gizliliğinizi ihlal etmesini önlemek amacıyla cihaz ayarlarından izinleri düzenlemeniz gerekir:\nAyarlar → Uygulamalar → İzin Yöneticisi bölümüne giderek uygulamaların ihtiyaç duymadığı tüm yetkileri (özellikle rehber, SMS, konum, kamera ve mikrofon) kapatın. Bir izin geçici olarak gerektiğinde, sürekli erişim sağlamak yerine \u0026ldquo;Yalnızca bu sefer\u0026rdquo; seçeneğini kullanın. İnternet erişimine ihtiyaç duymayan uygulamaların (hesap makinesi, çevrimdışı not defteri vb.) internet yetkisini Ayarlar → Uygulamalar → [Uygulama Adı] → Mobil Veri ve Wi-Fi → Ağ Erişimi kısmından kapatın. İnternet yetkisi bulunmayan uygulamalar, arka planda veri toplayıp harici sunuculara gönderemezler.\nBulut Depolama En güvenli bulut çözümü Nextcloud ile kendi sunucunuzu (self-hosting) barındırmaktır. Bu kurulum zor geliyorsa, şifreli yapısıyla öne çıkan Proton Drive oldukça iyi bir alternatiftir. Ek güvenlik için dosyalarınızı buluta yüklemeden önce yerel olarak şifreleyen Cryptomator uygulamasını kullanabilirsiniz.\nVPN (Sanal Özel Ağ) VPN trafiğinizi şifreleyerek internet servis sağlayıcınızdan gizler ancak tüm trafiğinizi VPN şirketine teslim ettiğiniz için sağlayıcının güvenilirliği kritik önem taşır. Sektörde öne çıkan ve bağımsız denetimlerden geçmiş bazı VPN servisleri şunlardır:\nMullvad VPN Proton VPN IVPN Kendi Sunucunuzda Barındırılan VPN Son Düşünceler Bu adımları izleyerek mobil cihazınızdaki veri sızıntılarını çok büyük oranda azaltabilirsiniz. Bu kurulum size tam bir görünmezlik sağlamasa da dijital güvenliğinizi ve kişisel gizliliğinizi en üst seviyeye çıkaracaktır.\nGizlilik ve Google bağımlılığından kurtulma konularında güncel kalmak için şu toplulukları takip edebilirsiniz:\nr/degoogle r/privacy \u0026ldquo;Gizleyecek bir şeyim yok, bu yüzden gizliliğe önem vermiyorum demek; söyleyecek bir şeyim yok, bu yüzden ifade özgürlüğünü önemsemiyorum demekle aynıdır.\u0026rdquo; - Edward Snowden\nİlgili Kılavuzlar GrapheneOS Üzerine Eksiksiz Kılavuz - Mobil gizlilik için en iyi işletim sisteminin detaylı incelemesi. Tehdit Modeli Nasıl Oluşturulur - Güvenliğinizi sağlamak için risk ve tehdit analizi yapma yöntemleri. AdBlock\u0026rsquo;lu Self-Hosted VPN - Reklam engelleme özellikli kendi özel VPN sunucunuzu kurun. Tor Düğümü Kurulumu - Tor ağına katkıda bulunma ve düğüm barındırma rehberi. ","permalink":"https://b4.lol/tr/android/","summary":"Kullanılabilirlikten ödün vermeden maksimum gizlilik ve güvenliğe sahip, Google servislerinden arındırılmış bir Android telefon kurun. Önerilen uygulamalarla adım adım kılavuz.","title":"Android'i Google Servislerinden Arındırma: Eksiksiz Gizlilik Kılavuzu"},{"content":"Bu rehberde öğrenecekleriniz:\nGrapheneOS\u0026rsquo;un neden mobil gizliliğin altın standardı olduğu ve hangi Pixel modelinin seçilmesi gerektiği GrapheneOS\u0026rsquo;un sıfırdan nasıl kurulup yapılandırılacağı Kullanıcı profillerinden, sandboxed Play hizmetlerinden ve gelişmiş güvenlik özelliklerinden nasıl en iyi şekilde yararlanılacağı GrapheneOS nedir ve kimler için uygundur? GrapheneOS, gizlilik ve güvenliğe odaklanan açık kaynaklı bir Android işletim sistemidir. Veri toplanmasını azaltmak ve uygulama yalıtımını artırmak isteyen, aynı zamanda yalıtılmış bir sandbox içinde sistem yetkileri olmaksızın çalışan Google Play hizmetleri sayesinde Android uygulama uyumluluğunu korumak isteyen kullanıcılar için tasarlanmıştır.\nSoru Kısa cevap Hangi telefonlarda çalışır? Sadece resmi olarak desteklenen Google Pixel cihazlarda. Google uygulamalarından vazgeçmek mi gerekiyor? Hayır, Google Play hizmetleri yalıtılmış (sandboxed) uygulamalar olarak yüklenebilir. Yeni başlayanlar için uygun mu? Evet, rehberli bir kurulumu takip etmeye ve kullanıcı profilleri hakkında bilgi edinmeye istekli olanlar için uygundur. Varsayılan olarak anonim mi? Hayır. Gizliliği ve güvenliği artırır, ancak nihai sonuç tehdit modelinize ve kullandığınız uygulamalara bağlıdır. Ana kaynaklar: Resmi GrapheneOS dokümantasyonu, projenin SSS sayfası, Android Açık Kaynak Projesi (AOSP) ve desteklenen Pixel cihazlar üzerinde yapılan testler.\nAkıllı telefonunuz sahip olduğunuz en mahrem cihazdır: nereye gittiğinizi, kiminle konuştuğunuzu, alışkanlıklarınızı bilir. Stok Android ve iOS işletim sistemleri bu verileri sürekli olarak Google ve Apple ile paylaşır. GrapheneOS, gizliliğinizden ödün vermeden kurumsal düzeyde güvenlik sunan tek alternatiftir. Bu rehber cihaz seçiminden ileri düzey yapılandırmaya kadar her adımda size yol gösterecektir.\nGrapheneOS , gizlilik ve güvenliği artırmaya odaklanan, Android Open Source Project (AOSP) tabanlı özgür ve açık kaynaklı (FOSS) bir işletim sistemidir.\nGrapheneOS şu anda Android işletim sistemleri arasında altın standardı temsil etmektedir ve bu rehberde işletim sisteminin tüm yönleri ve özellikleri ele alınacaktır.\nBu makale, GrapheneOS projesiyle ilgili mobil güvenlik ve gizlilik hakkındaki bilgi ve birikimi bir araya getirme girişimidir; bu rehbere ilham veren GrapheneOS hakkında bir makale yazdığı için PatrickD \u0026lsquo;ye teşekkürlerimizi sunarız.\nBu rehberi hazırlamak büyük bir emek ve zaman gerektirmiştir. Yapabileceğiniz en büyük destek, bu rehberin daha fazla kişiye ulaşması için gruplarda, Telegram kanallarında, X (Twitter) platformunda ve diğer sosyal ağlarda paylaşılmasıdır. Paylaşımda bulunan herkese içtenlikle teşekkür ederiz. Bu içerik ticari bir amaç taşımamaktadır; sitemiz verilerinizi toplamaz, analitik araçlar kullanmaz, e-posta adresinizi veya kaydolmanızı talep etmez. Bu projenin sürdürülebilmesi için lütfen bu bilgiyi paylaşarak destek olun.\nCihaz Seçimi GrapheneOS projesini ilk kez inceleyenler için muhtemelen en sık sorulan soru şudur: Neden bu kadar az cihaz resmi olarak destekleniyor ve neden hepsi Google tarafından üretilen pahalı Pixel telefonları?\nNeden Sadece Pixel Cihazlar? GrapheneOS\u0026rsquo;a göre, şu anda başka mantıklı bir seçenek bulunmamaktadır. GrapheneOS\u0026rsquo;un bu cihazlar için Google ile özel bir sözleşmesi yoktur. Bunun nedeni Pixel\u0026rsquo;lerin kusursuz derecede güvenli olması değil, aksine diğer tüm alternatiflerin güvenlik standartlarının yetersiz olmasıdır. GrapheneOS projesi, şu anda ve gelecekte potansiyel olarak desteklenecek cihazlar için bir gereksinimler listesi sunmaktadır ve ne yazık ki şu anda bu şartları sadece Pixel modelleri karşılayabilmektedir.\nPixel cihazları, Android geliştirme sürecinde referans platform olarak hizmet etmeleri sayesinde alternatif işletim sistemleri için tam destek sunar. Düzenli ve yeterli ürün yazılımı (firmware) güncellemeleri alırlar; ayrıca bellek etiketleme (memory tagging) gibi, üçüncü taraf işletim sistemleri yüklü olduğunda da kullanılabilen gelişmiş donanımsal güvenlik özellikleri sağlarlar.\nDiğer çoğu üretici (OEM) ise alternatif işletim sistemleri için sadece kısmen işlevsel destek sunar ve bunu ikincil bir hobi özelliği olarak ele alır. Birçoğu temel güvenlik özelliklerini tamamen atlar ve yeterli güncellemeler sağlamakla uğraşmaz. Daha da kötüsü, sisteme yaptıkları özelleştirmelerle genellikle karmaşıklık ve buna bağlı olarak daha büyük bir saldırı yüzeyi eklerler.\nGeçmişte GrapheneOS, diğer üreticilerle iş birliği yapmaya çalışmış ancak Pixel modelleriyle karşılaştırılabilir bir güvenlik düzeyine sahip bir cihaz geliştirmenin son derece zor olduğu görülmüştür.\nCihaz desteğinin genişletilmesi, GrapheneOS\u0026rsquo;un birçok güvenlik özelliğini donanımsal olarak destekleyemeyen güvensiz cihazlarla uyumluluk aranması anlamına gelecektir. Ayrıca bu durum, gizlilik ve güvenliği iyileştirme çalışmalarından önemli miktarda kaynak çalacaktır; çünkü bu özelliklerin çoğu donanıma özeldir. Ancak, gereksinimleri karşılayan başka cihazlar olsaydı, GrapheneOS projesi kesinlikle bunları da destekleme listesine eklerdi.\nAlternatifler var mı? Android cihazlar için gizlilik ve güvenliğe odaklanan veya daha geniş cihaz desteği sunan çeşitli alternatif işletim sistemleri mevcuttur. Ancak, güvenlik özellikleri açısından ciddi açıklar barındırdıklarından, bunların hiçbiri tam bir alternatif olarak kabul edilemez.\nGrapheneOS ekibinin bu projelerin neredeyse tümüne yönelttiği en temel eleştiri, Android\u0026rsquo;in tam açık kaynaklı sürümünü (AOSP) kullanan kullanıcıların yararlandığı kritik güvenlik yamalarının çok geç uygulanması veya bazı durumlarda tamamen atlanmasıdır.\nLineageOS bunlardan biridir; ancak bu projenin odağının güvenlik değil, cihaz ömrünü uzatmak ve geniş uyumluluk sağlamak olduğu unutulmamalıdır. Doğrulanmış önyükleme (verified boot) sisteminin olmaması, yetkisiz fiziksel erişimleri kolaylaştırmaktadır. /e/OS projesi, gizliliğe odaklanan tamamen Google servislerinden arındırılmış bir mobil ekosistem olarak kendini tanıtsa da LineageOS\u0026rsquo;un yetersiz temelleri üzerine inşa edilmiştir. e/OS, kullanıcılara sorgulanabilir bir gizlilik hissi veren uygulama ve servisler içerir; ancak bu servisler arka planda veri toplayabilen ve yetersiz tasarlanmış yapılardır.\nGrapheneOS\u0026rsquo;un en büyük alternatifi olarak görülen CalyxOS , yalnızca güncellemeleri geciktirmekle kalmamış, aynı zamanda yanlış Android güvenlik yama seviyeleri göstererek kullanıcıları yanıltmıştır. Ayrıca, tehlikeye atılmış verileri güvenilir şekilde silmesi beklenen acil durum silme özelliği gibi ciddi kusurları olan güvenlik özellikleri barındırmaktadır.\nÇeşitli Android tabanlı işletim sistemleri hakkında daha fazla bilgi için şu üçüncü taraf karşılaştırma tablosuna başvurabilirsiniz: https://eylenburg.github.io/android_comparison.htm Sonrasında, GrapheneOS\u0026rsquo;un eski adı olan CopperheadOS bulunmaktadır. Projeyi finanse eden şirket ile yaşanan yönetimsel sorunların ve ayrılığın detaylarına burada değinilmeyecektir. Ancak, bu şirketin şu anda CopperheadOS\u0026rsquo;u kapalı kaynaklı bir çatal (fork) olarak sattığını belirtmekte fayda vardır (bu sürümün kullanılması tavsiye edilmemektedir).\nSon olarak, ABD merkezli Purism , özel donanımı ve fiziksel kapatma anahtarları (kill switch) gibi özelliklerle gizlilik üzerinde kontrol vaat etmektedir. GrapheneOS ekibi ise bu cihazlarda tercih edilen güvenlik bileşenleri ve ürün yazılımı/mikrokod güncellemeleri için gereken karmaşık süreç konusunda farklı görüştedir. Librem 5 cihazı, aksine inanılmasına rağmen neredeyse tamamen kapalı kaynaklı donanım ve ürün yazılımına dayanmaktadır. GrapheneOS, bu projeleri kullanıcıları eski ve güvenlik açığı bulunan donanım ile yazılımlara yönlendiren pazarlama taktikleriyle suçlamaktadır. Hatta kullanıcıların, GrapheneOS\u0026rsquo;tan sonra gizlilik ve güvenlik için en iyi ikinci seçenek olarak (Kilitleme/Lockdown modunda) bir iPhone tercih etmelerinin daha doğru olacağını belirtmektedirler.\nGrapheneOS projesi, işletim sisteminin hiçbir şekilde aşılamaz olduğunu iddia etmemekte; pazarlama söylemleri yerine işin özüne odaklanmaktadır. GrapheneOS web sitesini diğer projelerle karşılaştırdığınızda bu durum açıkça görülebilir: Web sitesi tamamen teknik odaklıdır. Bu durum, kullanıcıları pazarlama söylemleri arasından teknik doğruları arama zahmetinden kurtarsa da ortalama bir kullanıcı için caydırıcı olabilir.\nGoogle cihazlarına güvenilebilir mi? GrapheneOS\u0026rsquo;un şu anda sadece Pixel cihazlarını desteklediğini gördük; çünkü yeterli donanımsal güvenlik önlemlerine sahip tek cihazlar bunlardır. Ancak bu cihazlarda arka kapı (backdoor) bulunma ihtimali bu çabaları anlamsız kılmaz mıydı?\nBelirtildiği gibi, Pixel cihazlar Android geliştirme sürecinde referans platform olarak hizmet eder, bu yüzden birçok güvenlik uzmanı tarafından incelenmektedir. Ayrıca Google, dışarıdan gelen güvenlik araştırmalarına açık bir yaklaşım sergilediği için Pixel\u0026rsquo;ler bu alanda büyük ilgi görmektedir. Bu koşullar altında cihazlara arka kapı gizlemek oldukça zor işlemdir.\nBir diğer argüman ise, üretimi dışarıdan temin eden küçük ölçekli şirketlerin tedarik zincirlerine sızmanın, küresel ölçekteki iPhone veya Pixel üretim hatlarını fark edilmeden sabote etmekten çok daha kolay olmasıdır. Bu kadar yaygın kullanılan cihazların kullanıcıları, bu cihazların tabi olduğu yüksek inceleme ve denetim seviyesinden yararlanır. Ayrıca, hükümetler tarafından yetkilendirilen adli bilişim firmalarından sızan bilgilerin, bu cihazlarda kasıtlı olarak bırakılmış herhangi bir arka kapıya dair kanıt sunmadığını belirtmek gerekir. Bununla birlikte, bazı kullanıcılar ilkesel olarak Google ile ilişkili hiçbir ürünü kullanmamayı tercih edebilir. Ancak bunu tam anlamıyla sağlamak için Apple ürünlerine yönelmek gerekir; zira Google, Linux çekirdeği dahil pek açık kaynaklı projenin geliştirilmesinde önemli bir rol oynamaktadır.\nGrapheneOS\u0026rsquo;un misyonu, ne pahasına olursa olsun belirli bir şirketten kaçınmak değil, mevcut en iyi araçlarla en üst düzey gizlilik ve güvenliğe ulaşmaktır.\nHangi Pixel\u0026rsquo;i seçmelisiniz? Maksimum güvenlik için desteklenen en yeni Pixel modellerinden birinin tercih edilmesi şiddetle önerilir. Bu durum, öncelikle dokuzuncu veya onuncu nesil cihazları incelemeyi gerektirirken, halihazırda elinizde mevcutsa sekizinci nesil modeller de hâlâ iyi bir seçenektir. Cihazlar, GrapheneOS\u0026rsquo;un yararlandığı bellek etiketleme (memory tagging) gibi donanımsal özellikler sayesinde çok daha güvenli kabul edilir. En yeni nesiller ayrıca gelişmiş modemler ve radyo bileşenleri barındırır; dolayısıyla SIM kart ile kullanımda daha yüksek güvenlik ve pil ömrü elde edersiniz. 16 GB RAM içeren Pro modelleri, GrapheneOS\u0026rsquo;u birden fazla kullanıcı profiliyle çalıştırmak isteyenler için idealdir (bu özelliğin avantajları ilerleyen bölümlerde açıklanacaktır).\nFiyat/performans oranı açısından Pixel 9a en mantıklı giriş modelidir. Halihazırda Pixel 8 veya 8a kullanıyorsanız, geçiş yapmanıza gerek yoktur; bu cihazlar hâlâ güçlü bir temel sunmaktadır. Her durumda, ikinci el bir cihaz satın almadan önce resmi destek ömrü tablosu kontrol edilmelidir.\nHer cihazın destek ömrüne ilişkin bir tabloyu şu bağlantıda kontrol edebilirsiniz: https://grapheneos.org/faq#device-lifetime Altıncı ve yedinci nesil Pixel cihazların destek sürelerinin bitmesine daha birkaç yıl vardır. Bu nedenle halihazırda elinizde bu cihazlar varsa kullanmaya devam edebilirsiniz; ancak bu modelleri yeni satın almanız önerilmez. Ayrıca GrapheneOS\u0026rsquo;un yalnızca yeni nesil donanımlarla etkinleştirebildiği bazı özel güvenlik özellikleri sunduğu unutulmamalıdır.\nDaha eski modeller kullanım ömrünü tamamlamış (End-of-Life) kabul edilir. GrapheneOS ekibi, hangi işletim sistemi yüklü olursa olsun bu cihazların kullanılmamasını önemle tavsiye eder. GrapheneOS\u0026rsquo;un bu modeller için sunduğu uzatılmış destek yalnızca geçici risk azaltma amaçlıdır ve kullanıcılara yeni bir cihaza geçmeleri için zaman tanır. Örneğin, Pixel 5a modeli için artık ürün yazılımı (firmware) yaması veya sürücü desteği sunulmamaktadır; üstelik cihazda henüz kapatılmamış kritik bir uzaktan kod yürütme açığı bulunmaktadır.\nModel RAM Depolama (GB) İşlemci Eşzamanlı kullanıcı profili Pixel 9 Pro Fold 16 GB 256-512 Tensor G4 14 Pixel 9 Pro XL 16 GB 128-1024 Tensor G4 14 Pixel 9 Pro 16 GB 128-1024 Tensor G4 14 Pixel 9 12 GB 128-256 Tensor G4 10 Pixel 8 Pro 12 GB 128-1024 Tensor G3 10 Pixel 8 8 GB 128-256 Tensor G3 6 Pixel 8a 8 GB 128-256 Tensor G3 6 Kurulum GrapheneOS\u0026rsquo;u kurmanın birkaç yöntemi bulunmaktadır: İşletim sistemi önceden yüklenmiş cihazlar satın almak, komut satırından manuel olarak kurmak veya web yükleyicisi aracılığıyla yükleme yapmak. Bu işlemlerin nasıl gerçekleştirileceğine dair tüm rehberler ve belgeler, resmi GrapheneOS web sitesinin \u0026ldquo;install\u0026rdquo; bölümünde mevcuttur.\nKurcalamaya Karşı Koruma Doğrulanmış Önyükleme Anahtarı Hash\u0026rsquo;i GrapheneOS kurulumunun ardından cihaz açılırken ekranda beliren uyarı mesajı sizi şaşırtabilir. Siyah bir ekranda, işletim sisteminin orijinal olmadığına dair bir uyarı gösterilecek ve altında, yüklü GrapheneOS sürümünün doğruluğunu onaylamanızı sağlayan benzersiz bir kriptografik parmak izi (hash) görüntülenecektir:\nCihaz Doğrulanmış Önyükleme Anahtarı Parmak İzi Pixel 10 Pro Fold 55a2d44103e56d5ec65496399c417987ba77730e6488fc60ba058d09fc3caee3 Pixel 10 Pro XL 141d7fc32af7958a416f2661b37cf6f27bfb376fb5ce616aeaa27a82c7a04f74 Pixel 10 Pro 4e8ee8f717754052198ca6d2d3aaa232e2461b4293c0d6f297e519cc778de093 Pixel 10 3f7415ea26f5df5b14ea6d153256071a7a1af9ce7b0970b7311cc463c7ea02c7 Pixel 9a 0508de44ee00bfb49ece32c418af1896391abde0f05b64f41bc9a2dfb589445b Pixel 9 Pro Fold af4d2c6e62be0fec54f0271b9776ff061dd8392d9f51cf6ab1551d346679e24c Pixel 9 Pro XL 55d3c2323db91bb91f20d38d015e85112d038f6b6b5738fe352c1a80dba57023 Pixel 9 Pro f729cab861da1b83fdfab402fc9480758f2ae78ee0b61c1f2137dd1ab7076e86 Pixel 9 9e6a8f3e0d761a780179f93acd5721ba1ab7c8c537c7761073c0a754b0e932de Pixel 8a 096b8bd6d44527a24ac1564b308839f67e78202185cbff9cfdcb10e63250bc5e Pixel 8 Pro 896db2d09d84e1d6bb747002b8a114950b946e5825772a9d48ba7eb01d118c1c Pixel 8 cd7479653aa88208f9f03034810ef9b7b0af8a9d41e2000e458ac403a2acb233 Pixel Fold ee0c9dfef6f55a878538b0dbf7e78e3bc3f1a13c8c44839b095fe26dd5fe2842 Pixel Tablet 94df136e6c6aa08dc26580af46f36419b5f9baf46039db076f5295b91aaff230 Pixel 7a 508d75dea10c5cbc3e7632260fc0b59f6055a8a49dd84e693b6d8899edbb01e4 Pixel 7 Pro bc1c0dd95664604382bb888412026422742eb333071ea0b2d19036217d49182f Pixel 7 3efe5392be3ac38afb894d13de639e521675e62571a8a9b3ef9fc8c44fd17fa1 Pixel 6a 08c860350a9600692d10c8512f7b8e80707757468e8fbfeea2a870c0a83d6031 Pixel 6 Pro 439b76524d94c40652ce1bf0d8243773c634d2f99ba3160d8d02aa5e29ff925c Pixel 6 f0a890375d1405e62ebfd87e8d3f475f948ef031bbf9ddd516d5f600a23677e8 Hash\u0026rsquo;ler cihaz modeline göre değişir ve yukarıdaki liste, yeni modeller eklenirse kanonik kaynak olmaya devam eden web yükleyici sayfasından kopyalanmıştır. Pek olası olmasa da, GrapheneOS\u0026rsquo;un sunucu altyapısının tehlikeye atılmış olması ve saldırganların kurulum sırasında kullanılan işletim sistemi dosyalarını ve anahtar hash\u0026rsquo;leri listesini değiştirmiş olması mümkündür. Cihazınızda görüntülenen hash\u0026rsquo;leri yukarıdaki tabloyla karşılaştırarak GrapheneOS\u0026rsquo;un meşru bir sürümünü kurduğunuzdan emin olabilirsiniz.\nAuditor Uygulaması GrapheneOS, işletim sisteminin gerçekliğini ve bütünlüğünü doğrulamanın, herhangi bir kurcalama olmadığından emin olmanın başka bir yolu olan Auditor App\u0026rsquo;i içerir. Auditor App kurulu ikinci bir cihazla manuel bir kontrol gerçekleştirebilirsiniz. Başka bir GrapheneOS cihazı olması gerekmez: uygulamayı Google\u0026rsquo;ın Play Store\u0026rsquo;unda bulabilirsiniz .\nBu doğrulama, GrapheneOS projesinin bir parçası olan attestation.app web sitesi kullanılarak otomatikleştirilebilir. Sitede kayıt olduktan ve cihazınızı eşleştirdikten sonra, cihaz zamanında geçerli doğrulamalar sağlayamazsa bir uyarı e-postası alacaksınız.\nNe yazık ki, şu anda kendi uzaktan doğrulama sunucunuzu barındırmak mümkün değil, çünkü bu özelliği kullanmak Auditor App\u0026rsquo;te değişiklik gerektirir.\nAyarlar Üzerinden Sertleştirme GrapheneOS, güvenlik açıklarına karşı üç temel yaklaşım sergiler: Saldırı yüzeyini (aktif özellikler ve kod miktarı) küçültür, olası açıkların suistimal edilmesini zorlaştırır ve bileşenleri yalıtarak (sandboxing) sızma girişimlerinin etkisini sınırlar. Bu güvenlik önlemleri cihazın kullanım kolaylığını ve performansını etkileyebileceğinden GrapheneOS; kullanıcıların kendi tercihlerini yapmalarına ve ihtiyaçlarına en uygun güvenlik dengesini kurmalarına olanak tanıyan geniş bir özelleştirme seçeneği sunar.\nKilit Ekranı Kullanıcı verileri, cihazın ekran kilidi yönteminden türetilen bir kriptografik anahtarla şifrelenmiş olarak saklanır. Bu yöntemler, donanımsal güvenlik çipi (secure element) tarafından uygulanan geciktirmeler sayesinde kaba kuvvet (brute-force) saldırılarıyla aşılamaz. Bu sayede, rastgele belirlenmiş 6 haneli bir PIN kodu dahi son derece yüksek bir koruma sağlar. Güvenlik çipinin korumasına ek olarak, 128 karaktere kadar karmaşık şifreler de kullanabilirsiniz.\nDesen kilidi (Pattern Lock) GrapheneOS\u0026rsquo;tan kaldırılmıştır; zira bu yöntem PIN koduna kıyasla çok daha zayıftır ve kolayca tahmin edilebilir şablonların seçilmesine yol açar. Bunun yerine, en az 6 haneli bir PIN kodu tercih edilmesi ve ekranda parmak izi izlerinden şifrenin tahmin edilmesini zorlaştıran \u0026lsquo;PIN karıştırma\u0026rsquo; (scrambled PIN) özelliğinin etkinleştirilmesi önerilir.\nParmak izi ile kilit açma kullanılabilir; ancak en yüksek güvenlik seviyesi için bu yöntem yalnızca uygulama içi kimlik doğrulamalarla sınırlandırılmalıdır (yani \u0026lsquo;Ekran kilidini açmak için kullan\u0026rsquo; seçeneği kapatılmalıdır). GrapheneOS ekibi, hem parmak izi taramasını hem de PIN/şifre girişini zorunlu kılan iki faktörlü bir kilit açma sistemini de kullanıma sunmuştur.\nFiziksel SIM kart veya eSIM kullanılıyorsa, ekran kilidinden farklı bir SIM PIN kodu belirlenmesi güvenlik açısından önem taşır.\nSon olarak, GrapheneOS bir acil durum şifresi veya PIN kodu (duress PIN) tanımlama seçeneği sunar. Bu şifre yapılandırıldıktan sonra, cihazın herhangi bir yerinde (ikincil profiller dahil) girilmesi durumunda cihazdaki ve tanımlı eSIM\u0026rsquo;lerdeki tüm veriler geri döndürülemez şekilde silinir. Şifre tetiklendiğinde şifre çözme anahtarları anında yok edilir ve cihaz kapatılır. Bir sonraki açılışta dosya sistemi geçersiz kalacağı için cihaz fabrika ayarlarına sıfırlanmış gibi yeniden kurulmak zorunda kalır. Bu işlemin verilerin kendisini sıfırlardan yazarak silmediğini belirtmek gerekir; çünkü bu işlem çok uzun sürer ve saldırganların müdahale etmesine olanak tanırdı.\nOtomatik Yeniden Başlatma Cihaz açıldıktan sonra henüz ekran kilidi açılmamışken kullanıcı verileri tamamen şifrelenmiş haldedir. İlk kilit açma işleminden sonraki kullanım sürecinde ise şifre çözme anahtarları cihazın geçici belleğinde (RAM) tutulur; bu durum fiziksel erişim araçlarıyla verilerin sızdırılmasına yol açabilecek bir güvenlik açığı oluşturur. Otomatik Yeniden Başlatma özelliği, bellekten veri sızdırılmasını önlemek amacıyla geliştirilmiştir.\nUygulamaların cihaz kilitlendiğinde hassas verileri yeniden şifreleyerek askıya alması mümkün olsa da bu durum uygulama geliştiricilerinin inisiyatifindedir ve pratikte nadiren uygulanır. Örneğin, popüler mesajlaşma uygulaması Signal dahi bu özelliği doğrudan desteklemezken, Molly gibi çatallar bu özelliği daha başarılı bir şekilde sunmaktadır. Cihaz kilitlendikten belirli bir süre sonra otomatik olarak yeniden başlatılarak veriler henüz şifresi çözülmemiş \u0026lsquo;ilk kilit açma öncesi\u0026rsquo; (Before First Unlock - BFU) durumuna geri döndürülür.\nYeniden başlatma zamanlayıcısı, cihaz her kilitlendiğinde devreye girer ve başarılı bir kilit açma işleminde sıfırlanır. Varsayılan süre 18 saattir; en güvenli ve en kısa değer ise 10 dakikadır. Zamanlayıcının çalışması için son yeniden başlatmadan sonra ekran kilidinin en az bir kez açılmış olması gerekir.\nVarsayılan 18 saatlik ayarda, sürekli kullanım esnasında kilit açıldıkça sayaç sıfırlanacağı için kullanıcı deneyimi olumsuz etkilenmez. GrapheneOS\u0026rsquo;un sunduğu sık güncellemeler de cihazın yeniden başlatılmasını gerektirdiğinden, bu özellik telefon aktif değilken güncellemelerin otomatik uygulanmasına da yardımcı olur. Zamanlayıcı süresi 78 saate kadar uzatılabilir veya tamamen kapatılabilir; ancak güvenlik gerekçesiyle bu özelliğin kapatılması kesinlikle önerilmez.\nİkincil kullanıcı profilleri kullanılıyorsa, bu özelliğin oturumları kapatarak cihazı ana kullanıcı (Owner) profiline döndüreceği unutulmamalıdır. Hedeflenen güvenlik düzeyine göre 4 veya 8 saatlik süreler makul birer seçenek olabilir.\nUSB Kısıtlamaları Cihazlara yetkisiz erişim sağlamaya çalışan adli bilişim araçları, geniş işlevselliği nedeniyle büyük bir saldırı yüzeyi sunan USB veri hattını kullanmayı tercih eder. Pixel modelleri, standart Android sürümlerinde bulunmayan fakat GrapheneOS için kritik öneme sahip olan, USB-C portunun donanımsal düzeyde denetlenmesine imkan tanır.\nVarsayılan olarak GrapheneOS, cihaz kilitlendiği anda yeni USB veri bağlantılarını engeller. Cihaz kilidi açıkken veri aktarımı yapılabilir; ancak cihaz kilitlendikten ve kablo bağlantısı kesildikten sonra yeni bir veri bağlantısı kurulmasına izin verilmez. Bu koruma, DisplayPort gibi USB-C üzerinden çalışan görüntü aktarım modlarını da kapsar.\nEn yüksek güvenlik sağlayan ancak kullanımı zorlaştırabilecek seçenek ise cihaz açıkken USB portunu veri iletişimi için tamamen kapatmaktır. Bu ayar, donanımın güç denetimindeki olası açıkları da kapatır; fakat cihazı şarj etmek istediğinizde bu engeli her seferinde manuel olarak devre dışı bırakmanızı gerektirir.\nKablosuz Saldırı Yüzeyi USB bağlantısı sınırlandırıldığında geriye Wi-Fi, Bluetooth ve hücresel ağlar gibi kablosuz veri iletim kanalları kalır. Ancak bu kablosuz kanallar üzerinden cihaza sızmak çok daha karmaşık ve zordur. Modern mobil cihazlarda donanımsal bileşen yalıtımı standart bir uygulamadır. Pixel modellerinde bu kablosuz birimlerin her biri için bağımsız yongalar bulunur.\nVarsayılan olarak kapalı olsa da aktif bir bağlantı kesildiğinde Wi-Fi ve Bluetooth\u0026rsquo;u otomatik olarak kapatan bir zamanlayıcı ayarlanabilir. GrapheneOS ekibi bu özelliği gelecekte NFC için de sunmayı planlamaktadır.\nHücresel ağ bağlantıları ise daha karmaşık bir yapıya sahiptir. 5G, SMS, MMS ve sesli aramalar GrapheneOS üzerinde sorunsuz çalışır. GrapheneOS, saldırı yüzeyini küçültmek amacıyla hücresel ağ için bazı ek kontrol anahtarları sunsa da operatörünüze ve bölgenize bağlı olarak en kararlı ayarları deneme-yanılma yoluyla bulmanız gerekebilir.\nGrapheneOS ile eSIM kullanılabilir. eSIM özellikleri Google altyapısına ihtiyaç duyduğundan varsayılan olarak kapalı gelir. Geçmişte eSIM aktivasyonu için Google Play hizmetleri gerekirken günümüzde buna gerek kalmamıştır ve eSIM kullanımı Google ile veri paylaşımına yol açmaz. Acil durum PIN/şifresi tetiklendiğinde eSIM profillerinin de silineceğini, ancak standart fabrika sıfırlamasında bunun geçerli olmadığını unutmamak gerekir.\nGrapheneOS geliştiricileri, mümkünse bağlantı türü olarak yalnızca LTE\u0026rsquo;nin (4G) seçilmesini önermektedir. LTE, eski 2G ve 3G protokollerine göre çok daha güvenli ve modern; yeni 5G protokolüne göre ise daha az karmaşık ve daha kararlıdır. Yalnızca LTE modunun tercih edilmesindeki temel amaç, eski ağ protokollerine ait geniş kod tabanını devre dışı bırakarak saldırı yüzeyini daraltmaktır.\nHücresel Gizlilik LTE ve 5G teknolojileri kendi içlerinde bir şifreleme sunar; ancak bu şifreleme öncelikle ağ üzerinden iletilen verileri korumak içindir, kişisel gizliliğinizi korumayı amaçlamaz. Kullanılan moddan bağımsız olarak, standart GSM aramalarından ve hücresel ağ üzerinden gönderilen SMS\u0026rsquo;lerden kaçınılmalı; bunun yerine Signal ve SimpleX gibi uçtan uca şifrelenmiş mesajlaşma platformları tercih edilmelidir.\nGeleneksel telekomünikasyon altyapısı tarihsel olarak güvensizdir ve kullanıcı gizliliğini korumak amacıyla tasarlanmamıştır. Bu sistemi, yetkisiz bir erişim elde edildiğinde ağ üzerinde geniş bir denetim imkanı sunan kapalı bir ağ olarak düşünebilirsiniz. Bu tür erişimler ticari olarak satın alınabilmekte; telefon görüşmelerinin, SMS\u0026rsquo;lerin ve bazı durumlarda konum verilerinin takip edilmesini mümkün kılmaktadır. Saldırganların bu bilgilere erişmesi için SIM kartın benzersiz IMSI tanımlayıcısını elde etmesi yeterlidir ve bu tanımlayıcı genellikle telefon numaranız üzerinden tespit edilebilir. Bu yöntemle saldırganlar, telefonunuzda herhangi bir uyarı belirmeden iki faktörlü doğrulama kodlarını (SMS) ele geçirebilir.\nCihaz hücresel ağa bağlanırken hem SIM kart kimliğini hem de hücresel modem donanımına ait bilgileri ağa iletir. Telefonu ve SIM kartı anonim olarak satın almış olsanız dahi, donanım kimliği (IMEI) ağ tarafında kaydedildiği için yalnızca SIM kartı değiştirmek yeni bir kimlik elde etmek için yeterli değildir.\nCihaza SIM kart takmak yerine harici bir mobil Wi-Fi (hotspot) cihazı kullanılması düşünülebilir. Ancak bu durum gizliliği kısmen artırsa da güvenliği olumsuz etkileyecektir. Bu tür harici cihazlar genellikle yetersiz donanımsal yalıtıma sahiptir ve Pixel modellerinin izole hücresel modem donanımına kıyasla güncelleme desteği açısından çok geridedir. Bu durum, saldırganların harici cihazı ele geçirerek telefonunuza saldırmasını kolaylaştırır.\nBu harici cihazların bazıları, IMEI numarasını (donanım tanımlayıcısını) rastgele değerlerle değiştirmeye olanak tanır. Bu sayede aynı cihazı kullanmaya devam ederken yeni bir SIM kart ile birlikte IMEI numarasını da değiştirerek ağda yeni bir kimlik edinebilirsiniz. Ancak IMEI\u0026rsquo;nin, hücresel modemler tarafından iletilen tek donanım tanımlayıcısı olmadığını bilmeniz gerekir; üstelik değiştirilmiş tanımlayıcılara rağmen bu cihazların ağ üzerinden tespit edilmesini sağlayabilecek çeşitli yöntemler bulunmaktadır. Ayrıca sıra dışı IMEI değişiklikleri ağ operatörlerinin dikkatini çekerek şüphe uyandırabilir.\nGrapheneOS ekibi, hücresel ağ erişimi için ikincil bir cihaz kullanılmasını önermez. Böyle bir yapı kurulacaksa dahi GrapheneOS yüklü ikinci bir Pixel modelinin tercih edilmesi daha güvenlidir. Wi-Fi üzerinden internet paylaşımı (tethering) yapıldığında, yakındaki kişilerin Wi-Fi sinyallerini analiz ederek hareketlerinizi takip edebileceği unutulmamalıdır.\nUçak modu ne olacak?\nUçak modu, cihazın hücresel modem iletimini, alımını ve hücresel takibi tamamen kapatmanın tek yoludur. Uçak modu açıldıktan sonra hücresel şebeke kapalı tutularak Wi-Fi bağlantısı tekrar etkinleştirilebilir. Cihazı yalnızca Wi-Fi üzerinden kullanmayı planlıyorsanız, yanlışlıkla hücresel şebekeyi açmamak için hızlı ayarlar panelindeki uçak modu düğmesini kaldırmayı düşünebilirsiniz.\nHücresel şebekenin, operatör hizmetlerinin kullanılabileceği tek kanal olmadığı unutulmamalıdır. Wi-Fi üzerinden arama (VoWi-Fi) ve mesajlaşma özellikleri de mevcuttur. SIM kartın operatörle kimlik doğrulamasını ve internet bağlantıları üzerinden ağ servislerini kullanmasını önlemek için SIM kart profili veya hattın kendisi sistem ayarlarından kapatılmalıdır.\nYeni nesil cihazlar, kayıp telefonları bulmak için tasarlanmış özel çevrimdışı takip sistemleri barındırır. GrapheneOS bu takip ağlarını desteklemez ve gelecekte de desteklemeyecektir. Sinyal takibinden tamamen kaçınmak için cihaz kullanılmadığı zamanlarda bir Faraday çantasında saklanabilir.\nSadece veri SIM\u0026rsquo;leri ne olacak?\nGizlilik açısından yalnızca veri odaklı (data-only) bir SIM kart kullanılması durumu değiştirmez; zira hücresel şebekede kimlik doğrulamanız devam eder. Ancak geleneksel çağrı ve SMS işlevlerinin bulunmaması, potansiyel güvenlik açıklarına karşı saldırı yüzeyini daraltır. GrapheneOS, gelecekte standart SIM kartları yalnızca veri hattı gibi çalıştıracak yazılımsal engeller getirmeyi planlamaktadır.\nVPN kullanmak ne olacak?\nVPN kullanmanın, operatör tabanlı sesli aramalar veya SMS\u0026rsquo;ler üzerinde herhangi bir etkisi yoktur. Bu işlevler, hücresel şebeke yerine Wi-Fi bağlantısı tercih edilse dahi VPN tünelinden geçmez. Ancak VPN araçları, diğer saldırı türlerine karşı korunmak ve internet trafiğini maskelemek için kritik önem taşır. Güvenilir VPN sağlayıcıları seçilmeli veya kişisel olarak barındırılan bir VPN hizmeti tercih edilmelidir (VPN kurulumuna dair hazırladığımız kılavuza göz atabilirsiniz).\nVeri tasarrufu modu ne olacak?\nVeri Tasarrufu modunun tüm profillerde etkinleştirilmesi, uygulamaların arka planda hücresel veri tüketmesini engeller. Ancak ön planda aktif olarak çalışan veya bildirim panelinde kalıcı yer edinen servisler bu kısıtlamadan etkilenmez. Mobil veri kullanımını uygulama bazında kısıtlamak da mümkündür; ancak bu ayarlar tek başına sistem güvenliğini artıran kritik korumalar değildir.\nSIM olmadan kullanmak ne olacak?\nCihazda SIM kart bulunmadığında uçak modu açık değilse, telefon hücresel baz istasyonlarına bağlanmaya devam eder ancak bir kimlik doğrulaması yapmaz ve donanım bilgilerini paylaşmaz. Bu durumdayken dahi acil durum aramaları yapılabilir ve acil durum uyarıları alınabilir.\nAcil durum araması yapmanın cihazınızın radyo tanımlayıcılarını paylaşacağını unutmayın.\nAcil durum uyarıları ne olacak?\nAcil durum uyarıları, SIM kart takılı olmasa dahi baz istasyonuna bağlı tüm cihazlara iletilir. Yalnızca uçak modunun açılması bu uyarıları engeller. GrapheneOS herhangi bir resmi kurum düzenlemesine bağlı olmadığından, en yüksek öncelikli uyarıları dahi kapatma seçeneği sunmaktadır. Acil durum uyarılarının, konum takibine veya veri sızdırılmasına yol açmadığı unutulmamalıdır.\nUygulama İstismarlarına Karşı Koruma Cihazı dış tehditlere karşı korumanın yanı sıra, yüklü uygulamaların sistemi içeriden sabote etmesini önlemek de kritik önem taşır. Android işletim sisteminde uygulamalar yalıtılmış alanlarda (sandbox) çalışarak yalnızca izin verilen kaynaklara erişebilir. Zararlı yazılımlar, işlevleriyle ilgisiz izinler talep edebilir veya yalıtılmış alandan kaçmaya (escape) çalışabilir. Çoğu zaman uygulamanın kendisi doğrudan zararlı olmasa da barındırdığı bir açık veya sunucu tarafındaki bir sızıntı, kullanıcı güvenliğini tehlikeye atabilir.\nAyarlardaki \u0026lsquo;Uygulama İstismarı Koruması\u0026rsquo; (Exploit Protection) bölümünde, uygulamaların yalıtılmış alandan sızmasını zorlaştıran çeşitli güvenlik ayarları yer alır. Bunların bir kısmı, uyumluluk sorunlarına veya çökmelere yol açabileceği için varsayılan olarak kapalı gelir. Bu korumaları genel olarak açmak ve yalnızca sorun yaşayan uygulamalar için seçici olarak kapatmak daha güvenli bir yaklaşımdır.\nSistemde varsayılan olarak etkin gelen korumalar da bulunur. Derleme performansını ve güvenliği optimize etmek için GrapheneOS, çalışma anında derleme (just-in-time) yerine önceden derleme (ahead-of-time) yöntemiyle uygulamaları çalıştırır. Bu yöntem pil ömrünü ve uygulama performansını artırırken önemli bir güvenlik bariyeri oluşturur. Ancak uygulamanın kurulması ve güncellenmesi standart Android sürümlerine göre daha uzun sürebilir.\nİzinler Standart Android sürümlerinde izin denetimleri yalnızca Kamera, Mikrofon, Vücut Sensörleri ve Fiziksel Aktivite erişimleri için mevcuttur. İvmeölçer, jiroskop, pusula, barometre ve termometre gibi donanımsal sensörlere erişim izni ise uygulamalara varsayılan olarak doğrudan verilir. GrapheneOS, bu sensörlere erişimi engelleyen ek bir güvenlik seçeneği sunar. Bu kısıtlama, sensör verilerine bağımlı uygulamalarda çökmelere yol açabileceğinden varsayılan olarak açık gelmez. Özellik etkinleştirildiğinde, bir uygulama sensörlere erişmek istediğinde bildirim gösterilir ve seçici olarak izin verilmesi sağlanır.\nStandart Android sürümlerinde tüm uygulamalara doğrudan verilen bir diğer izin ise internet/ağ erişimidir. Bu erişim, cihaz içi yerel ağ bağlantılarını da kapsar ve bazı durumlarda kullanıcı profili sınırlarını aşarak farklı profillerdeki uygulamaların birbiriyle haberleşmesi amacıyla suistimal edilebilir. GrapheneOS üzerinde bir uygulama yüklenirken ağ erişim izni isteğe bağlı olarak sunulur. Ağ izni kapatıldığında GrapheneOS, uygulamaya internet bağlantısı yokmuş gibi davranarak veri sızdırılmasını önler.\nUygulama istismarı korumalarında olduğu gibi, diğer izinleri de istediğiniz zaman uygulamalardan geri alabilirsiniz. Ancak varsayılan olarak yüklü gelen sistem uygulamalarının izinlerini kapatırken dikkatli olunmalıdır; zira bu durum sistem kararlılığını etkileyebilir.\nÖzellikle ağ erişimi (yalnızca internete ihtiyaç duyan uygulamalara izin verilmelidir), konum (GPS), dahili depolama, kamera ve mikrofon izinleri dikkatle yönetilmelidir. İzin ayarları belirli aralıklarla gözden geçirilerek gereksiz yetkiler sınırlandırılmalıdır.\nKısıtlı erişim (storage scope) Bazı popüler uygulamalar, kişi listesi veya tüm dosyalara erişim gibi kapsamlı izinler talep edebilir. GrapheneOS\u0026rsquo;un \u0026lsquo;Storage Scopes\u0026rsquo; (Depolama Kapsamları) ve kişi sınırlama özellikleri, uygulamaya yalnızca sizin seçtiğiniz dosyaları veya kişileri gösterirken, uygulamanın tüm sisteme eriştiğini sanmasını sağlar.\nKişi sınırlama özelliği etkinleştirildiğinde, uygulama rehberi boş olarak görür; ardından seçtiğiniz belirli kişileri veya grupları uygulamayla paylaşabilirsiniz. Bu sayede rehberin tamamı yerine yalnızca gerekli kişilerin paylaşılması sağlanır.\nUygulamalara tüm depolama birimine erişim izni vermek yerine depolama kapsamı (Storage Scopes) açılabilir. Bu durumda uygulama, yalnızca kendisinin oluşturduğu veya sizin manuel olarak seçtiğiniz dosya/klasörleri görebilir; diğer uygulamaların verilerine erişemez.\nGrapheneOS ekibi; konum, kamera ve mikrofon gibi diğer hassas donanımlar için de benzer kapsamlı ve sınırlı erişim özellikleri geliştirmeyi planlamaktadır.\nMikrofon ve Kamera Anahtarları Standart Android sürümlerinde de yer alan, mikrofon ve kamera erişimlerini sistem düzeyinde kapatan kontrol anahtarları hızlı ayarlar panelinde mevcuttur.\nBu donanımları sistem genelinde kapatıp yalnızca ihtiyaç anında açmak güvenli görünse de, kilit ekranından hızlıca fotoğraf çekmek veya bir aramayı yanıtlamak istediğinizde pratikliği olumsuz etkiler. Donanım anahtarlarını açmak için ekran kilidinin açılması gerektiğinden arayan kişi aramayı sonlandırabilir. Bu nedenle mikrofon ve kamera erişimlerini sistem genelinde açık bırakarak izinleri uygulama bazında (\u0026lsquo;Kullanırken izin ver\u0026rsquo; veya \u0026lsquo;Her seferinde sor\u0026rsquo; şeklinde) yapılandırmak daha kullanışlı bir yöntemdir.\nBu sensörlere kesinlikle ihtiyaç duymayacağınızdan eminseniz, mikrofon ve kamera donanımları fiziksel olarak sökülmüş özel cihazları da tercih edebilirsiniz; ancak bu tür modifikasyonlar yüksek işçilik gerektirdiğinden maliyetleri oldukça yüksektir.\nSistem Güncellemeleri GrapheneOS güncellemeleri arka planda otomatik olarak indirilip kurulur. Güncellemenin uygulanması için cihazın yeniden başlatılması gerekir. İşletim sisteminin güncellenmiş sürümle açılmasında bir sorun yaşanırsa sistem otomatik olarak çalışan eski sürüme geri döner.\nGüncelleme sonrası otomatik yeniden başlatmalar desteklense de aramaların bölünmemesi adına varsayılan olarak kapalıdır. Güncellemelerin hücresel veri paketini tüketmesini engellemek için sistem güncelleyici ayarlarından yalnızca sınırsız ağların (Wi-Fi) tercih edilmesi önerilir. Güncellemelerin hareket halindeyken pil tüketimini artırmasını önlemek için \u0026lsquo;Cihazın şarj olması gerekir\u0026rsquo; seçeneği de açılabilir.\nSistem Güncelleyici uygulaması kapatılarak otomatik güncellemeler tamamen engellenebilir; ancak güvenlik açıklarının kapatılması ve kararlılık yamalarının alınması adına bu özelliğin açık tutulması kesinlikle tavsiye edilir.\nBazı kullanıcılar gelecekteki güncellemelerin sisteme güvenlik açıkları veya arka kapılar ekleyebileceğinden endişe duyabilir. Bu tür riskleri önlemek adına güncellemelerin hem istemci hem de önyükleme aşamasında doğrulanan kriptografik imzalar barındırması zorunludur. Ayrıca sürüm düşürme (downgrade) saldırıları da sistem tarafından engellenir.\nGrapheneOS projesi ayrıca, yürürlükteki yasaların yalnızca belirli kullanıcıları hedef alabileceğini ve tüm GrapheneOS cihazlarına kötü amaçlı bir güncelleme yayınlanmasını zorlayamayacağını savunmaktadır. Güncelleme istemcisi, güncelleme talep ederken benzersiz bir cihaz bilgisi iletmediğinden, GrapheneOS\u0026rsquo;un belirli bir kullanıcıya arka kapılı güncelleme göndermesi teknik olarak mümkün değildir. Ancak güncelleme sunucusu, talepte bulunan cihazın IP adresini görebilir; bu durum bir VPN veya Tor kullanılarak maskelenebilir.\nYedeklemeler GrapheneOS, verileri yedeklemek veya başka bir cihaza aktarmak amacıyla Ayarlar \u0026gt; Sistem \u0026gt; Yedekleme kısmında yerleşik Seedvault aracını sunmaktadır. İkincil kullanıcı profilleri kullanılıyorsa, bu özelliğin her profil için ayrı ayrı yapılandırılması gerektiği unutulmamalıdır. Signal veya Molly gibi bazı uygulamalar, yalnızca kendi içlerinden gerçekleştirilebilen özel veri tabanı şifrelemeleri kullanır. Yedeklemeleri saklamak için bir USB sürücü kullanılması planlanıyorsa, yaygın bir yöntem olarak yedekleme önce dahili depolamada oluşturulmalı, işlem tamamlandıktan sonra harici sürücüye taşınmalıdır.\nSeedvault yedeklemelerinin tüm dosyaları kapsamayabileceği bilinen bir sorundur. Bu nedenle, kritik dosyaların yedeği için yalnızca Seedvault\u0026rsquo;a güvenilmemelidir. Önemli verilerin ayrıca bir bilgisayara (USB bağlantısı üzerinden \u0026lsquo;Dosya Aktarımı\u0026rsquo; seçeneğiyle) yedeklenmesi önerilir. Bu bağlantının da her kullanıcı profili için ayrı ayrı kurulması gerekecektir. GrapheneOS ekibi gelecekte Seedvault\u0026rsquo;u daha güvenilir bir alternatifle değiştirmeyi planlamaktadır, ancak şu anda öncelikli diğer konular üzerinde çalışılmaktadır.\nİkincil Kullanıcı Profilleri Kullanıcı profilleri, aynı cihazın birden fazla kişi tarafından paylaşılmasına veya tek bir kullanıcının cihazında yalıtılmış bölümler oluşturulmasına imkan tanır. Aşağıda, uygulamaları birbirinden izole etmek ve kullanıcı verilerini bölümlere ayırmak için bu özelliğin nasıl kullanılacağı ele alınacaktır. Ancak uygulama yalıtımının (sandboxing) sağladığı güvenlik ve yukarıda değinilen \u0026lsquo;Storage Scopes\u0026rsquo; özelliğinin sunduğu bölümlendirmenin pek çok kullanıcı için zaten yeterli olacağını belirtmek gerekir.\nYeni bir GrapheneOS kurulumunda, çoklu profil özelliği varsayılan olarak kapalıdır. Cihaz açılıp kilit açıldığında doğrudan ana kullanıcı olan \u0026lsquo;Owner\u0026rsquo; (Sahip) profiline erişilir. Owner profili, Linux işletim sistemlerindeki yetkili \u0026lsquo;root\u0026rsquo; kullanıcısı ile karıştırılmamalıdır. Owner profili cihaz üzerinde diğer kullanıcılara göre daha fazla yönetimsel yetkiye sahip olsa da, sıradan uygulamalar hem Owner hem de diğer kullanıcı profillerinde aynı kısıtlamalara tabidir.\nHer profil, kendi ekran kilidi yöntemiyle korunan bağımsız anahtarlarla şifrelenir. Owner profilinin özel bir durumu vardır; zira sadece kendi verilerini değil, sisteme dair genel hassas verileri de barındırır. Bu nedenle, ikincil kullanıcı profillerine geçiş yapabilmek için öncelikle Owner profilinin kilidi en az bir kez açılmış olmalıdır. Owner profili ve bu profildeki uygulamalar, ikincil bir profile geçildiğinde de arka planda çalışmaya devam eder. Ancak, Owner profili diğer profillerde saklanan verilere erişemez.\nProfiller Arası Bildirimler Arka planda çalışan diğer profillerden bildirim alınabilmesi önemli bir kolaylıktır. Bildirim içeriğinde yalnızca hangi profilde ve hangi uygulamada bildirim oluştuğu bilgisi gösterilse de bu özellik, ikincil kullanıcı profilleriyle sağlanan kullanıcı deneyimini önemli ölçüde artırmaktadır.\nKullanım Örnekleri Farklı kullanıcı profili türlerine değinmeden önce, yalnızca Owner profilini kullanmak yerine çoklu profil yapısını tercih etmenin avantajlarını ele alalım.\nÖncelikle, yeni bir profil oluşturulduğunda cihaz tamamen sıfırlanmış gibi görünür. Halihazırda Owner profilinde kurulu olan uygulamalar bu yeni profilde yer almaz, her şey temiz bir şekilde başlar. Bu durum, aynı uygulamanın farklı hesaplarına erişmek istendiğinde oldukça yararlıdır. Örneğin, birden fazla hesap desteklemeyen bir mesajlaşma uygulamasını farklı profillerde ayrı ayrı kurarak kullanabilirsiniz.\nUygulamaları farklı profillerde çalıştırmak, birbirleriyle veri paylaşmalarını ve iletişim kurmalarını engeller. Örneğin, bir platformun ana uygulaması ile mesajlaşma uygulaması aynı profilde yüklüyse aralarında veri alışverişi yapabilirler; ancak farklı profillerde yer alıyorlarsa bu tür bir iletişim teknik olarak mümkün değildir.\nOwner profilinde arka planda çalışan uygulamalar, manuel olarak durdurulmadığı sürece etkin kalır. Nadiren kullanılan uygulamaları ikincil bir kullanıcı profilinde çalıştırmak daha mantıklıdır. Bu profildeki işlemler tamamlandığında, oturum sonlandırılarak tüm uygulamaların kapatılması ve verilerin yeniden şifrelenmiş (\u0026lsquo;dinlenme\u0026rsquo; - At Rest) durumuna getirilmesi sağlanabilir.\nKullanıcı profilleri geçici olarak oluşturulup iş bitiminde silinebilir. Bir profildeki uygulamalar diğer profillerin varlığından habersizdir. Bu yapı, web tarayıcılarındaki gizli mod işlevine benzetilebilir. Her profilin dosya sistemi diğerlerinden tamamen bağımsızdır.\nOtomatik Yeniden Başlatma özelliği, cihazın şifrelenmiş konumda kalmasını ve fiziksel erişim durumunda şifresi çözülmüş verilere ulaşılamamasını sağlar. Günlük kullanım için Owner profili yerine ikincil bir profil tercih edilirse güvenlik seviyesi artar: Owner profilinin verilerini \u0026lsquo;dinlenme\u0026rsquo; durumuna getirmek için cihazın yeniden başlatılması gerekirken, ikincil bir profilin oturumunu sonlandırmak aynı güvenliği yeniden başlatmaya gerek kalmadan sağlar.\nProfillerin en büyük avantajı, farklı gizlilik/güvenlik gereksinimlerine ve ağ yapılandırmalarına sahip yalıtılmış ortamlar oluşturabilmesidir. Örneğin, bir profilde Invizible Pro ile tamamen Tor ağını kullanırken, bir diğerinde WireGuard ile VPN tercih edebilir, üçüncü bir profili ise doğrudan (clearnet) internete açık bırakabilirsiniz.\nKullanıcı Profili Sayısı GrapheneOS, ikincil kullanıcı profili sınırını 4\u0026rsquo;ten 32\u0026rsquo;ye yükseltmektedir (bu profillerden biri misafir kullanıcı için ayrılmıştır). Ancak bu kadar çok profil oluşturulabilmesi, hepsinin aynı anda çalışabileceği anlamına gelmez; çünkü bu durum cihaz performansını olumsuz etkileyecektir. GrapheneOS, maksimum eş zamanlı profil sınırını cihazın RAM kapasitesine göre belirler.\nPixel 9 Pro Fold Pixel 9 Pro XL Pixel 9 Pro Pixel 9 Pixel 8 Pro Pixel 8 \u0026amp; 8a RAM 16 GB 16 GB 16 GB 12 GB 12 GB 8 GB Profil 14 14 14 10 10 6 Kullanıcı Profilleri: İleri Düzey Yapılandırmalar Arka planda çalışması gerekmeyen profiller için Owner profili üzerinden \u0026lsquo;Arka planda çalışmaya izin ver\u0026rsquo; seçeneği kapatılabilir. Bu sayede, oturumu manuel olarak sonlandırmaya gerek kalmadan, başka bir profile geçildiğinde önceki profil otomatik olarak askıya alınır; bu da RAM, işlemci ve pil tasarrufu sağlar.\nProfiller Arası Uygulama Kurulumu Farklı kullanıcı profillerinin diğer profillerden uygulamaları güncelleyebilmesi veya Owner profilindeki bir uygulamayı ikincil bir profile yükleyebilmesi şaşırtıcı gelebilir. Dosya sistemlerinin yalıtılmış olmasına rağmen bu mümkündür; zira her profil tamamen ayrı bir işletim sisteminde çalışmaz. Uygulama kodları, sistem kaynaklarını korumak amacıyla profiller arasında güvenli bir şekilde paylaşılabilmektedir.\nUygulamaları profiller arasında klonlamaya ek olarak, her profil içinde ayrı ayrı uygulama mağazaları kurmak da mümkündür.\nDezavantajlar İkincil kullanıcı profillerini aktif olarak kullanmanın bazı zorlukları bulunmaktadır. Örneğin, Otomatik Yeniden Başlatma özelliği tüm kullanıcı oturumlarını sonlandırır ve öncelikle Owner profilinin kilidinin açılmasını zorunlu kılar. Bu durum, ikincil profillerdeki uygulamaların durdurulacağı ve o profile tekrar giriş yapılana kadar bildirim alınamayacağı anlamına gelir.\nDosya sistemleri tamamen yalıtılmış olduğundan, bir profildeki görsel veya dosyayı diğer profildeki bir uygulamaya doğrudan aktarmanın kolay bir yolu yoktur. Yaygın çözümler arasında Cryptomator gibi araçlarla bulut tabanlı dosya senkronizasyonu veya bir mesajlaşma uygulaması üzerinden dosya paylaşımı yer alsa da bunlar gizlilik açısından en iyi yöntemler olmayabilir. Syncthing veya yerel bir FTP sunucusu/istemcisi ile dosya senkronizasyonu kurulabilse de yapılandırmaları karmaşık gelebilir.\nSMS doğrulaması gerektiren ikincil profillerde uygulama kurulumu yaparken, o profil için geçici olarak \u0026lsquo;Telefon görüşmelerini ve SMS\u0026rsquo;i etkinleştir\u0026rsquo; seçeneğinin açılması gerekebilir.\nPrivate Space (Özel Alan) Özel Alan (Private Space), Android işletim sistemine eklenen yeni bir özelliktir. Teknik olarak Owner profili içine yerleştirilmiş ikincil bir kullanıcı profili gibi çalışır: Alan kilitlendiğinde bu özel profil durdurulur, kilidi açıldığında ise yeniden başlatılır. Owner profiliyle paylaşılan pano (kopyalama alanı) hariç, verileri ikincil bir kullanıcı profili gibi yalıtılmıştır.\nÖzel Alan kullanmanın ikincil bir profile göre avantajı, alan kilidi açıkken bildirimlerin ve ayarların ana arayüzle bütünleşik olarak gösterilmesidir. İkincil profillerde yalnızca hangi uygulamanın bildirim gönderdiği gösterilirken, Özel Alan bildirimleri Owner profilinde detaylı olarak görüntülenebilir. Bu durum yalıtım düzeyini biraz azaltsa da günlük kullanım kolaylığını artırır.\n31 adede kadar oluşturulabilen ikincil profillerin aksine, cihazda yalnızca bir Özel Alan oluşturulabilir ve bu alan Owner profilinin bir parçası olmak zorundadır. GrapheneOS Özel Alan özelliklerini geliştirmeyi planlamaktadır. Özel Alan kullanıcısı standart kullanıcı yönetimi arayüzünde listelenmez; bu nedenle Owner profilindeki uygulamaları Özel Alan\u0026rsquo;a doğrudan kopyalama seçeneği sunulmaz. Ayrıca Özel Alanı kilitlemek, ikincil profildeki oturumu sonlandırmak gibi şifreleme anahtarlarını bellekten silmez.\nTam kullanıcı profillerine kıyasla Özel Alanın bir dezavantajı, bu alana \u0026rsquo;telefon görüşmeleri ve SMS\u0026rsquo; erişimi verilememesidir. Bu durum, SMS doğrulamasını engeller ve bazı uygulamaların kullanımını sınırlar.\nWork Profile (İş Profili) İş Profilleri (Work Profile), kullanıcı deneyimi açısından Özel Alan özelliğine benzer. Bu özellik aslen kurumsal BYOD (Kendi Cihazını Getir) sistemleri için tasarlanmış olduğundan profili oluşturmak için ayrı bir cihaz yönetim uygulaması gerekir. Bu yönetici uygulama ve dolaylı olarak bağlı olduğu şirket, İş Profili içindeki verilerin denetimine ve sahipliğine sahiptir. Ancak harici bir sunucu bağlantısı olmadan İş Profili oluşturulmasına ve yönetilmesine olanak tanıyan Shelter gibi yerel yönetim araçları mevcuttur. Her durumda, İş Profili kullanmak için açık kaynaklı olsa da üçüncü taraf bir uygulamaya güvenmeniz gerekecektir.\nÖzel Alan özellikleri daha iyi yalıtıma, daha güçlü şifrelemeye ve Owner profiliyle daha başarılı arayüz entegrasyonuna sahiptir. İş Profili yöneticileri, ana profil ile İş Profili arasında geniş bir veri alışverişine izin verebilir. Örneğin, İş Profilleri profiller arası uygulama iletişimini engellemez; bu durum kullanım kolaylığını artırsa da gizlilik ve güvenliği olumsuz etkileyebilir.\nGenel olarak bu araçlar oldukça kullanışlıdır; ihtiyaç duymuyorsanız kullanmamak güvenlik ve gizlilik açısından en doğrusudur. Ancak aynı anda iki farklı kimliği (örneğin iş ve özel hayat) ayırmanız gerekiyorsa son derece uygun bir seçenektirler.\nVPN VPN kullanımı için en iyi yöntem, her kullanıcının/profilin farklı bir çıkış IP adresi alması amacıyla ayrı bir VPN bağlantısına sahip olmasıdır. Bu doğrultuda tüm profiller (İş Profilleri ve Özel Alan dahil) kendi VPN yapılandırmalarını barındırır. Bu durum, dış aktörlerin aynı IP adresi üzerinden profilleri birbiriyle ilişkilendirmesini önler.\n\u0026lsquo;Her zaman açık VPN\u0026rsquo; ve \u0026lsquo;VPN olmadan bağlantıları engelle\u0026rsquo; seçenekleri etkinleştirilerek bir profilin doğrudan internete çıkması önlenebilir. GrapheneOS, VPN tünelinin dışına veri sızmasını önlemek amacıyla Android altyapısında pek çok iyileştirme gerçekleştirmiştir.\nGünümüzde GrapheneOS projesi, yalnızca resmi WireGuard uygulamasını (herhangi bir ticari veya kişisel barındırılan VPN ile kullanılabilir) ve Mullvad istemcisini kullanmayı önermektedir.\nÖnerilen Uygulamalar Yeni bir GrapheneOS kurulumu minimum sayıda uygulama ile gelir. Sisteme varsayılan olarak daha fazla uygulama eklemek saldırı yüzeyini genişletir. GrapheneOS, uygulama seçimini tamamen kullanıcının tercihine bırakır. Geliştirici ekip, doğrudan gizlilik ve güvenlik iyileştirmelerine odaklanmıştır; sisteme ek uygulamalar dahil etmek bu hedeflerle çelişecektir. Ayrıca üçüncü taraf uygulama ve servislerin entegrasyonundan da kaçınılmaktadır.\nSistemle birlikte gelen az sayıda araç arasında GrapheneOS\u0026rsquo;un kendi \u0026lsquo;Uygulama Mağazası\u0026rsquo; (App Store) da yer alır. Bu mağaza, doğrudan GrapheneOS projesi tarafından geliştirilen uygulamaları veya güvenlik yönünden güçlendirilmiş açık kaynaklı sürümleri dağıtmayı amaçlar. Üçüncü taraf uygulamaların ise GrapheneOS\u0026rsquo;un desteklediği bağımsız mağaza olan Accrescent aracılığıyla kurulması hedeflenmektedir.\nÖnceden Kurulu Uygulamalar GrapheneOS\u0026rsquo;ta önceden yüklü gelen uygulamaların bir kısmı standart AOSP (Android Açık Kaynak Projesi) kaynaklıdır ve tasarım/işlevsellik açısından oldukça sadedir. Google zamanla bu uygulamaların açık kaynaklı sürümlerini geliştirmeyi bırakıp kendi kapalı kaynaklı modern versiyonlarına geçmiştir. GrapheneOS bu temel uygulamaları güncellemeyi planlamaktadır, ancak alternatif uygulamalarda lisanslama sorunları yaşanabilmektedir.\nGoogle Kamera, Galeri ve Klavye gibi uygulamaları kullanmayı tercih ediyorsanız, internet erişimlerini kapatarak ve veri toplama izinlerini vermeyerek bu uygulamaları güvenle kullanabilirsiniz. Standart Android araçlarından bazıları (Markup ve Termometre gibi) GrapheneOS Uygulama Mağazası üzerinden edinilebilir.\nGrapheneOS\u0026rsquo;un kendi geliştirdiği temel uygulamalar güvenlik ve gizlilik odaklı olarak optimize edilmiştir. Örneğin varsayılan kamera uygulaması çekilen fotoğraflardaki konum ve cihaz gibi meta verileri (EXIF) otomatik olarak temizler. Ayrıca tüm uygulamalar yalnızca çalışmak için gereken minimum izinleri talep eder.\nKamera GrapheneOS Kamera uygulaması modernize edilmiş, gizlilik ve güvenlik odaklı bir yapıya sahiptir. Fotoğraf, video ve QR/barkod tarama modları sunar. HDR+, Gece modu, çoklu kamera yakınlaştırma desteği ve dijital sabitleme (EIS) gibi özellikleri barındırır. Standart Android sürümlerine kıyasla fotoğraf kalitesinde herhangi bir kayıp yaşanmaz.\nAncak bu uygulama, orijinal \u0026lsquo;Pixel Kamera\u0026rsquo; uygulamasının sunduğu bazı özel yazılımsal özellikleri barındırmaz. Google Kamera uygulaması, GrapheneOS üzerinde tüm lenslerden ve görüntü işleme donanımlarından tam performansla yararlanabilir. Güvenliği korumak amacıyla Google uygulamalarının donanım hızlandırıcılarına erişimi ek bir denetim anahtarı ile sınırlandırılmıştır; bu ayar varsayılan olarak açık gelse de herhangi bir veri paylaşımına neden olmaz.\nDaha yüksek kaliteli fotoğraflar ve Pixel yazılım desteği isteniyorsa Google Kamera uygulaması kurulup ağ erişim izni (Network Permission) kapatılarak güvenle kullanılabilir.\nGaleri GrapheneOS, mevcut varsayılan Galeri uygulamasını ileride değiştirmeyi planlamaktadır. Güçlü bir açık kaynaklı alternatif arayanlar için GrapheneOS geliştiricileri IacobIonut01/Gallery ve Aves uygulamalarını önermektedir. Ayrıca açık kaynaklı Fossify Gallery de son derece başarılı bir alternatiftir.\nKlavye GrapheneOS\u0026rsquo;un varsayılan klavyesi, Google\u0026rsquo;ın 2014 yılındaki açık kaynaklı klavye sürümüne dayanır. Bu sürümde imleç denetimi için kaydırma, tek el modu ve kaydırarak yazma gibi modern Gboard özellikleri yer almamaktadır.\nGoogle\u0026rsquo;ın modern Gboard klavyesi en başarılı yazım araçlarından biridir. İnternet erişimi kapatılarak ve veri toplama seçenekleri devre dışı bırakılarak kullanılmasında sakınca yoktur. Aktif klavye uygulamalarının ekrandaki tüm girdilere ve pano (kopyalama) verilerine erişebileceği unutulmamalıdır.\nAçık kaynaklı bir alternatif arayanlar için günümüzdeki en başarılı bağımsız klavyelerden biri olan HeliBoard önerilir. Florisboard veya FUTO Keyboard gibi diğer projeler de gelişim aşamasındadır.\nDiğer bir seçenek ise internet erişimi engellenmiş olarak orijinal Gboard klavyesini kullanmaktır.\nVanadium Tarayıcısı GrapheneOS, güvenlik ve gizlilik yönünden optimize edilmiş Chromium tabanlı Vanadium tarayıcısını barındırır. Bu tarayıcı hem varsayılan web tarayıcısı olarak hem de diğer uygulamaların web içeriklerini görüntülemesinde (WebView) kullanılır. Geliştiriciler, tarayıcının ek eklenti veya ayar değişikliği yapılmadan varsayılan haliyle kullanılmasını önermektedir; zira ek modifikasyonlar tarayıcı parmak izinizi belirginleştirerek takibinizi kolaylaştırabilir. Web sitelerinin sensör verilerine erişmesini engellemek için Vanadium\u0026rsquo;un \u0026lsquo;Sensörler\u0026rsquo; izni kapatılabilir.\nVanadium günlük kullanım için son derece güvenli ve hızlı bir tarayıcıdır. Mobil platformlarda güvenlik mimarileri yetersiz olduğu gerekçesiyle Firefox tabanlı mobil tarayıcıların kullanılması önerilmez.\nUygulama Uyumluluğu Günümüzde çok az sayıda Android uygulaması GrapheneOS ile uyumluluk sorunu yaşamaktadır. Bu sorunlar genellikle, işletim sisteminin Google tarafından sertifikalandırılmış olmasını şart koşan \u0026lsquo;Play Integrity API\u0026rsquo; denetiminden kaynaklanır. Bu durum bazı bankacılık uygulamalarını ve konum tabanlı oyunları etkileyebilmektedir. İlgili denetimleri uygulayan servisler, alternatif işletim sistemlerinde çalışmayı engelleyebilir.\nBu durum ayrıca Google Pay (NFC) temassız ödemelerinin de çalışmasını engeller. Ancak temassız ödeme uyumluluğu bankadan bankaya değişiklik göstermektedir; bazı yerel bankacılık uygulamaları sorunsuz çalışırken bazıları çalışmayabilir. Temassız ödeme desteğinin her uygulama için ayrı ayrı test edilmesi gerekmektedir.\nGrapheneOS, standart Android ile aynı güvenlik düzeyini sunmasına rağmen Google, cihazları güvenlik kriterlerine göre değil ticari lisans durumuna göre sertifikalandırır. Bu engelleri aşmak için bazı geçici çözümler bulunsa da bunlar zamanla kapatılabilmektedir. GrapheneOS ekibine göre tek kalıcı çözüm, bu tekelci yaklaşıma karşı yasal adımların atılmasıdır.\nYalıtılmış Google Play Hizmetleri Uygulama uyumluluğunun diğer bir boyutu da bazı sosyal medya ve mesajlaşma araçlarının Google Play hizmetlerine (Play Services) ihtiyaç duymasıdır. Pek çok uygulama, bildirim gönderebilmek için Google\u0026rsquo;ın bulut mesajlaşma altyapısına (FCM) bağımlıdır. Bazı uygulamalar kendi bildirim servislerini arka planda çalıştırsa da bu durum pil tüketimini artırabilir.\nÖrneğin Signal, Google Play hizmetleri olmadığında kendi bildirim mekanizmasını devreye sokar; fakat bu durum arka planda sürekli veri kontrolü yapacağı için pil tüketimini artırabilir. Google servislerinden bağımsız kullanım için optimize edilmiş Molly uygulaması iyi bir alternatiftir.\nGoogle Play servislerine bağımlı olan uygulamalar için, resmi Google Play hizmetlerini sisteme ayrıcalıksız birer uygulama olarak (sandboxed) yükleyebilirsiniz. GrapheneOS\u0026rsquo;un sunduğu bu özel uyumluluk katmanı sayesinde Google Play, sistem dosyalarına veya cihaz kimliklerine erişemez ve sıradan bir uygulama gibi yalıtılmış olarak çalışır. Bu yapı, uygulama içi satın alımlar ve bildirimler dahil olmak üzere Google bağımlı uygulamaların sorunsuz çalışmasını sağlar.\nBu katmanı etkinleştirmek için GrapheneOS Uygulama Mağazası üzerinden \u0026lsquo;Google Play services\u0026rsquo; paketini yüklemeniz yeterlidir. Bu işlem, gerekli diğer Google bağımlılıklarını da otomatik olarak kuracaktır. Play Store üzerinden uygulama edinmek veya Google hesabı gerektiren servisleri kullanmak için bir Google hesabı ile giriş yapabilirsiniz.\nGoogle Play hizmetleri kurulduktan sonra bildirim panelinde \u0026lsquo;Eksik isteğe bağlı izin\u0026rsquo; uyarısı belirebilir. Bu uyarıya dokunarak Google servislerinin arka planda sürekli çalışmasına izin verebilirsiniz. Arka planda çalışma izni verilmesi bildirimlerin gecikmesini önler ancak pil tüketimini artırabilir. Bildirim önceliğinize göre bu ayarı düzenleyebilirsiniz.\nGoogle servislerini sistem genelinden uzak tutmak istiyorsanız, bu servisleri yalnızca ihtiyaç duyduğunuz ikincil bir kullanıcı profiline veya İş Profiline yükleyerek ana profilinizi tamamen temiz tutabilirsiniz.\nAndroid Auto Android Auto özelliği normal şartlarda sistem düzeyinde geniş yetkiler talep etse de GrapheneOS\u0026rsquo;un yalıtılmış uyumluluk katmanı sayesinde sınırlı yetkilerle çalıştırılabilmektedir. Android Auto uygulamasını GrapheneOS Uygulama Mağazası üzerinden kurarak kullanabilirsiniz.\nKurulumun ardından Ayarlar \u0026gt; Uygulamalar \u0026gt; Sandboxed Google Play \u0026gt; Android Auto menüsünden kablolu/kablosuz Android Auto bağlantı izinlerini etkinleştirebilirsiniz. Ses ve bildirimlerin araç ekranına yansıtılması için gerekli ek izinler de bu menüden düzenlenebilir. Android Auto\u0026rsquo;nun şu an için Özel Alan veya İş Profili altından çalışmadığı unutulmamalıdır.\nObtainium ve App Verifier Android platformunda uygulama kurulum paketleri geliştirici tarafından kriptografik olarak imzalanır. Uygulama yüklendikten sonra bu imza kaydedilir ve gelecekteki güncellemelerin de aynı imza ile onaylanması gerekir. \u0026lsquo;İlk Kullanımda Güven\u0026rsquo; (Trust-On-First-Use - TOFU) adı verilen bu güvenlik yapısı, uygulamaların yetkisiz kaynaklardan güncellenmesini engeller.\nAncak bu yapı, uygulamanın ilk kez kurulurken doğru kaynaktan edinildiğini garanti etmez. Uygulama mağazaları, yükleme öncesinde geliştirici imzalarını doğrulayarak bu sorunu çözer. Ancak harici bir uygulama mağazası kullanmak sisteme ek bir güven zinciri eklediğinden, bağımsız güncelleme aracı olan Obtainium iyi bir alternatif sunar.\nObtainium , Android uygulamalarını doğrudan resmi kaynaklarından (örneğin GitHub sürümleri sayfası) indirmenizi ve güncel tutmanızı sağlar. AppVerifier aracı ile birlikte kullanıldığında, kuracağınız uygulamanın orijinal geliştiriciye ait olup olmadığını doğrulayabilirsiniz. Bu yapı, merkezi uygulama mağazalarına olan bağımlılığı azaltır.\nAccrescent Accrescent , güvenlik odaklı mimariye sahip modern bir uygulama mağazasıdır. GrapheneOS Uygulama Mağazası üzerinden kurulabilir. F-Droid\u0026rsquo;e kıyasla daha güçlü bir güvenlik denetimi ve imza doğrulama altyapısı sunar.\nAccrescent projesinin yaygınlaşması hedeflense de henüz geliştirme aşamasındadır. GrapheneOS ekibi, güvenlik zafiyetleri barındırdığı gerekçesiyle F-Droid yerine Accrescent\u0026rsquo;in geliştirilmesini desteklemektedir.\nAccrescent, uygulamaların ilk kurulumlarını doğrulanmış imzalı üst verilerle güvence altına alarak manuel kontrol ihtiyacını ortadan kaldırır.\nF-Droid F-Droid , açık kaynaklı Android uygulamalarının dağıtıldığı en popüler platformlardan biridir. Ancak GrapheneOS ekibi, F-Droid\u0026rsquo;in güvenlik altyapısındaki zafiyetler ve uygulamaların orijinal geliştirici imzaları yerine F-Droid imzalarıyla derlenmesi gibi gerekçelerle bu platformun kullanılmasını önermemektedir.\nOrijinal geliştirici imzası taşıyan paketlerin kullanılması güvenlik açısından daha avantajlıdır; zira imza anahtarının ele geçirilmesi, kaynak koda dışarıdan müdahale edilmesine kıyasla çok daha zordur.\nF-Droid yerine, onun sunduğu kaynakları daha modern ve güvenli bir arayüzle sunan Droidify istemcisinin kullanılması önerilir.\nUygulama mağazası seçiminde her yöntemin güvenlik, gizlilik ve kullanım kolaylığı açısından farklı avantaj ve dezavantajları bulunur. İhtiyaçlarınıza en uygun yöntemi tercih edebilirsiniz.\nPlay Store ve Aurora Store Resmi Google Play Store, tescilli (kapalı kaynaklı) uygulamaları edinmek için en güvenli yöntemdir ancak gizlilik yönünden dezavantajları bulunur. Google Play Store ve Play hizmetleri, GrapheneOS üzerinde herhangi bir özel yetkiye sahip olmadığından yalıtılmış profillerde güvenle çalıştırılabilir.\nAurora Store , Google Play mağazasına erişim sunan açık kaynaklı alternatif bir istemcidir. Resmi Google uygulamasını kurmadan anonim hesaplar üzerinden uygulama indirmenizi sağlar. Ancak GrapheneOS ekibi, güvenlik zafiyetleri ve Google hesap engellemeleri nedeniyle Aurora Store yerine tek kullanımlık bir hesapla resmi Play Store uygulamasının kullanılmasını tavsiye eder.\nGrapheneOS üzerinde Google servislerinin kullanılması bazı çevrelerce çelişkili bulunsa da GrapheneOS projesinin temel amacı kullanıcı deneyiminden ödün vermeden en üst düzeyde güvenlik ve gizlilik sunabilmektir. Google servisleri için sağlanan uyumluluk katmanı GrapheneOS\u0026rsquo;un en çok kaynak ayırdığı özelliklerden biridir. Tercih tamamen kullanıcıya aittir.\nÇeşitli mağazalar hakkında düşünceler Obtainium son derece kullanışlı bir güncelleme aracı olsa da uygulama keşfetme özelliği barındırmamaktadır; yalnızca adresini bildiğiniz uygulamaları indirmenize imkan tanır.\nÖzetle açık kaynaklı uygulamalar için Droidify, tescilli uygulamalar için ise doğrudan resmi Google Play Store en güvenli seçeneklerdir.\nGoogle Play Store en yüksek güvenlik denetimini sunsa da kişisel hesap ve veri paylaşımı gibi gizlilik ödünleri gerektirir. Kullanım amacınıza ve tehdit modelinize göre uygun mağazaları tercih edebilirsiniz.\nSorunlar ve Çözümler Konum Belirleme Sorunları Konum servisleri normal şartlarda Google Play hizmetleri tarafından sağlanır. GrapheneOS ise konum taleplerini doğrudan cihazın yerleşik uydu alıcısına (GNSS) yönlendirir. Bu durum, kapalı alanlarda konum tespitinin gecikmesine veya yapılamamasına neden olabilir.\nCihazda SIM kart ve internet bağlantısı aktifse konum bulma hızını artırmak amacıyla A-GPS (hücresel baz istasyonu yardımlı konumlandırma) kullanılır. GrapheneOS, bu konum istekleri sırasında IP adresinizin operatörlerle paylaşılmasını önlemek amacıyla kendi proxy sunucularını kullanır.\nKonum hassasiyetini artırmak için Ayarlar \u0026gt; Konum \u0026gt; Konum Servisleri menüsünden Wi-Fi ve Bluetooth taramaları etkinleştirilebilir. Bu özellik, yakındaki kablosuz ağlar üzerinden konum tespitini kolaylaştırır.\nYalıtılmış Google Play hizmetleri üzerinden Google\u0026rsquo;ın konum belirleme servislerini kullanmak istiyorsanız, Ayarlar \u0026gt; Uygulamalar \u0026gt; Sandboxed Google Play menüsünden konum yönlendirme seçeneğini kapatıp gerekli izinleri Google Play hizmetlerine vermeniz gerekmektedir.\nKonum doğruluğuna ihtiyaç duyulan uygulamaları yalnızca ikincil bir profilde çalıştırarak ana profilinizin gizliliğini korumaya devam edebilirsiniz.\nÇökmeler/Çalışmayan Uygulamalar GrapheneOS üzerinde bazı uygulamaların uyumluluk sorunları yaşaması veya çökmesi beklenebilir bir durumdur. Bu sorunları çözmek için öncelikle uygulama önbelleğini temizlemek, uygulamayı durdurmaya zorlamak veya cihazı yeniden başlatmak gibi temel adımlar uygulanmalıdır.\nGrapheneOS\u0026rsquo;a özgü çözüm adımları arasında ise ilgili uygulama için Exploit Protection (İstismar Koruması) ayarlarını seçici olarak kapatmak, uygulamayı Özel Alan dışında kurmak veya Google Play hizmetlerinin yüklü olduğu yalıtılmış bir profile taşımak yer alır.\nUygulama Kurulmayı Reddediyor Uygulama yükleme hataları genellikle, aynı uygulamanın farklı bir imza/kaynaklı sürümünün diğer bir kullanıcı profilinde zaten yüklü olmasından kaynaklanır.\nDestek İsteme GrapheneOS topluluğu son derece aktiftir. Karşılaştığınız sorunların çözümleri için discuss.grapheneos.org resmi forumunu ve resmi Discord kanalını ziyaret edebilirsiniz. Ayrıca Telegram, X ve Matrix üzerinde de resmi topluluk kanalları mevcuttur.\nProjeyi Destekleyin Bu rehber sizler için yararlı olduysa, destek olmak amacıyla rehberi sosyal mecralarda veya Telegram gruplarında paylaşabilirsiniz \u0026lt;3\nSorularınız veya geri bildirimleriniz için admin@b4.lol e-posta adresi üzerinden iletişime geçebilirsiniz. Okuduğunuz için teşekkür ederiz!\nİlgili Kılavuzlar Android\u0026rsquo;i Google Servislerinden Arındırma: Eksiksiz Gizlilik Kılavuzu - Google servislerinden arındırılmış herhangi bir Android telefon için tam yapılandırma Tehdit Modeli Nasıl Oluşturulur - Savunma araçlarınızı seçmeden önce tehditlerinizi tanımlayın AdBlock ile Kendi Sunucunuzda VPN - GrapheneOS trafiğinizi kişisel bir VPN ile koruyun Tor Düğümü Eğitimi - Anonim olarak gezinin ve Tor ağına katkıda bulunun ","permalink":"https://b4.lol/tr/graphene/","summary":"GrapheneOS hakkında bilmeniz gereken her şey: kurulum, yapılandırma, kullanıcı profilleri, sandboxed Play Services ve sorun giderme. Mevcut en eksiksiz rehber.","title":"GrapheneOS: En İyi Gizlilik İşletim Sistemi Rehberi"},{"content":" TL;DR - Bu kılavuzda öğrenecekleriniz:\nGüvenlik ve gizlilik gereksinimleriniz için doğru Linux dağıtımını nasıl seçeceğiniz Kurulumdan itibaren disk şifreleme, güvenlik duvarı ve çekirdek sertleştirmesini nasıl yapılandıracağınız Uygulamaları Flatpak, Firejail ve ileri düzey sandboxing ile nasıl izole edeceğiniz Sisteminizin gerçekten korunduğunu pratik testlerle nasıl doğrulayacağınız Özet Linux sertleştirme, saldırı yüzeyini ve olası bir ihlalin etkisini azaltmak demektir: güncel bir dağıtım, disk şifreleme, güvenlik duvarı, güvenli DNS, çekirdek sertleştirme, uygulama sandboxing\u0026rsquo;i, Secure Boot, hizmet kontrolü ve düzenli denetimler. Linux otomatik olarak güvenli değildir: bu önlemler tutarlı bir şekilde yapılandırıldığında daha dayanıklı hale gelir.\nLinux dünyası genellikle bir güvenlik cenneti olarak resmedilir: herhangi bir dağıtımı kurarsınız ve sihirli bir şekilde her şeyden korunmuş olursunuz. Gerçek biraz farklı. Doğru yapılandırma olmadan bir Linux masaüstü sistemi şaşırtıcı derecede güvensiz olabilir. İyi haber şu ki, doğru bilgi ve biraz sabırla kurulumunuzu gerçek bir kaleye dönüştürebilirsiniz.\nBu kılavuz size adım adım eşlik edecek: doğru dağıtımı seçmekten her güvenlik yönünü yapılandırmaya kadar. Kolay olmayacak ama sonunda gerçekten güvenebileceğiniz bir sisteme sahip olacaksınız.\nGüvenliğin bir ürün değil, bir süreç olduğunu unutmayın. Mükemmel bir kurulum yoktur, ama size uygun bir kurulum vardır. Bu kılavuzun her bölümü artıları ve eksileri sunar, böylece sizin durumunuz için neyin mantıklı olduğuna kendiniz karar verebilirsiniz.\nBu kılavuz iyileştirmelere ve önerilere açıktır. Katkıda bulunmak, hata bildirmek veya ekleme önermek isterseniz GitHub üzerinden bir pull request açın.\nGüvenlik için neden Linux kullanılmalı? Her şeyden önce: Linux\u0026rsquo;u neden kullanmalısınız? Önyargıdan değil, somut nedenlerden dolayı.\nŞeffaflık ve kontrol Linux açık kaynaklıdır. Bu, kaynak kodunun herkes tarafından görülebilir, doğrulanabilir ve değiştirilebilir olduğu anlamına gelir. Microsoft veya Apple \u0026ldquo;verilerinizi toplamıyoruz\u0026rdquo; dediğinde, onların sözüne güvenmek zorundasınızdır. Linux\u0026rsquo;ta doğrulayabilirsiniz. Bu mutlak bir garanti değildir (kimse hobi olarak milyonlarca satır kod okumaz), ama denetlenebilirlik imkânı büyük bir avantajdır.\nKontrol tamdır: sisteminizde neyin çalıştığına, hangi hizmetlerin aktif olduğuna, dışarıyla neyin iletişim kurduğuna siz karar verirsiniz. Zorunlu güncelleme yok, gizli telemetri yok, önceden yüklenmiş gereksiz yazılım yok.\nBilinmesi gereken sınırlar Gözler açık olsun: masaüstü Linux otomatik olarak Windows veya macOS\u0026rsquo;tan daha güvenli değildir. Aslında bazı açılardan kutudan çıktığı haliyle daha az korunmuştur:\nUygulama sandboxing\u0026rsquo;i: macOS ve Windows\u0026rsquo;ta çok daha gelişmiş uygulama izolasyon mekanizmaları vardır. Geleneksel bir Linux masaüstünde bir uygulamanın sisteminize neredeyse tam erişimi olur Secure Boot: Linux\u0026rsquo;taki uygulaması Windows\u0026rsquo;a kıyasla hâlâ olgunlaşma sürecindedir Sürücüler ve firmware: donanım desteği daha sınırlı olabilir ve resmi olmayan sürücüler güvenlik açıkları getirebilir Masaüstü saldırı yüzeyi: X11 (artık çoğu dağıtımda Wayland ile değiştirilen eski grafik protokolü) güvenlik açısından bir kalburdu, çünkü herhangi bir pencere ekranı kaydedebilir, girişleri yakalayabilir ve diğer pencerelere komut enjekte edebilirdi Bunu söylemekle birlikte, Linux size bütün bu sorunları çözecek araçları sunar. Sadece bunları sizin yapılandırmanız gerekir. Bu kılavuzda yapacağımız şey de tam olarak budur.\nGüvenli bir Linux dağıtımı seçmek Dağıtım seçimi her şeyin temelidir. Burada yapılan yanlış bir seçim, sonraki tüm çalışmayı anlamsız kılabilir. Gerçekten önemli olan kriterleri ele alalım.\nRolling release mi fixed release mi Bu konuda çok fazla kafa karışıklığı var. Çoğu kişi \u0026ldquo;stable\u0026rdquo; dağıtımların (Debian stable gibi) daha az değiştikleri için daha güvenli olduğunu düşünür. Gerçekte genellikle tersi geçerlidir.\nFixed release dağıtımlar (Debian gibi) paket sürümlerini dondurur ve güvenlik yamalarını yalnızca backport yoluyla uygular. Sorun şu ki, her güvenlik düzeltmesi bir CVE (resmi bir tanımlayıcı) almaz ve bu nedenle hiçbir zaman dağıtıma taşınmaz. Ayrıca backport süreci kendisi de hata oluşturabilir. Debian\u0026rsquo;ın kendisinde, backport edilen bir yamanın güvenlik açığı yarattığı durumlar olmuştur (OpenSSL ile ünlü DSA-1571 vakası).\nRolling veya yarı-rolling dağıtımlar (Fedora, openSUSE Tumbleweed, Arch gibi) paketleri upstream sürümüne güncelleştirir. Bu, güvenlik düzeltmelerini orijinal geliştiricinin yazdığı haliyle, aradaki değişikliklerden etkilenmeden almanız demektir.\nÖnerimiz: Sık güncellemelerden çekiniyorsanız, geri alma (rollback) mekanizmaları sunan bir dağıtım seçiniz (dnf history ile Fedora veya Btrfs snapshot ile openSUSE gibi). Böylece her iki dünyanın en iyisini elde edersiniz: güncel paketler ve bir şey bozulursa geri dönebilme imkânı.\nMasaüstü ortamı: GNOME neden tercih edilmeli Güvenlik açısından önerdiğim iki masaüstü ortamı GNOME ve KDE Plasma\u0026lsquo;dır ve ana neden ikisinin de Wayland\u0026lsquo;i tam olarak desteklemesidir.\nİyi haber şu ki, artık başlıca dağıtımların çoğu (Fedora, Ubuntu, openSUSE, vb.) varsayılan grafik protokolü olarak Wayland kullanıyor. Wayland, X11\u0026rsquo;in halefidir ve Linux masaüstünün en ciddi güvenlik sorunlarından birini çözer: eski X11\u0026rsquo;de herhangi bir pencere ekranı kaydedebilir, tuş vuruşlarını yakalayabilir ve diğer pencerelere giriş enjekte edebilirdi, bu da herhangi bir sandboxing girişimini pratik olarak işe yaramaz hale getiriyordu.\nWayland ile uygulamalar grafik düzeyinde birbirinden izole edilir. Hem GNOME hem de KDE Plasma, ayrıcalıklı protokoller (ekran yakalama gibi) için bir izin sistemi uygular: uygulamalar izin istemeli ve kullanıcı bunları açıkça onaylamalıdır.\nGNOME daha minimal, daha görüş sahibi bir seçimdir: daha az yapılandırma seçeneği ama güvenlik teknolojileriyle iyi entegre olmuş tutarlı bir deneyim sunar. Fedora Workstation ve Ubuntu\u0026rsquo;da varsayılandır.\nKDE Plasma daha özelleştirilebilir ve özellik açısından zengin bir masaüstü tercih edenler için alternatiftir. KDE Plasma\u0026rsquo;daki Wayland desteği artık olgun ve kararlıdır, Fedora KDE Spin ve openSUSE\u0026rsquo;de varsayılandır. Masaüstünüzün görünümü ve davranışı üzerinde tam kontrole sahip olmayı seviyorsanız, KDE güvenlik açısından hiçbir taviz vermeden harika bir seçimdir.\nDİKKAT! Herhangi bir nedenle hâlâ X11\u0026rsquo;li bir masaüstü ortamı kullanıyorsanız (bazı güncel olmayan dağıtımlar veya özel yapılandırmalar), bu kılavuzda açıklanan korumaların çoğu (özellikle sandboxing) önemli ölçüde daha az etkili olacaktır. echo $XDG_SESSION_TYPE komutuyla Wayland kullandığınızı doğrulayın (wayland döndürmelidir).\nÖnerilen dağıtımlar Düzinelerce dağıtım analiz edildikten sonra, farklı kullanıcı profillerine göre önerilen seçenekler şunlardır:\nFedora Workstation: dengeli seçim Fedora yarı-rolling bir dağıtımdır: çekirdek ve önemli paketler sık güncellenirken, GNOME resmi sürüm döngüsünü takip eder. Her sürüm yaklaşık bir yıl desteklenir ve her altı ayda bir yeni sürüm çıkar.\nFedora\u0026rsquo;yı seçme nedenleri:\n\u0026ldquo;Upstream first\u0026rdquo; yaklaşımı: yamalar minimal ve mantıklıdır Modern teknolojileri (Wayland, PipeWire) ilk benimseyenler arasında dnf paket yöneticisi işlemler için rollback ve geri alma destekler SELinux varsayılan olarak aktif ve enforcing modda Büyük bir topluluk ve mükemmel dokümantasyon Eksileri:\nDestek dışı kalmamak için her 6-12 ayda bir yeniden kurulum (veya yükseltme) gerektirir Bazı tescilli paketler ek depo (RPM Fusion) gerektirir Debian: her zaman kullanıma hazır sağlam temel Fedora denge ise, Debian sağlamlıktır. En iyi anlamıyla \u0026ldquo;sıkıcı\u0026rdquo; bir sistemdir: Kurulduktan sonra sorunsuz çalışır ve minimum bakımla yıllarca hizmet vermeye devam eder. Sürekli elini sokmak zorunda kalmadan güvenilir bir masaüstü arayan kullanıcılara önerilebilecek, güvenli ve her zaman kullanıma hazır temeldir.\nDebian\u0026rsquo;ı seçme nedenleri:\nEfsanevi kararlılık: paketler stable\u0026rsquo;a girmeden önce kapsamlı şekilde test edilir, sürprizler nadirdir Debian Security Team, takip edilen güvenlik açıkları için güncelleme yayınlamada en duyarlı ekiplerden biridir Bakım en aza indirilmiştir: sık yeniden kurulum yok, sistemi bir günden ertesine bozan güncelleme yok AppArmor varsayılan olarak aktiftir ve Linux dünyasının en büyük, en iyi dokümante edilmiş topluluklarından birine sahiptir Çok sayıda başka projenin (Ubuntu, Whonix, Tails) temelidir, dolayısıyla güvenlik profilleri ve kılavuzları boldur Eksileri:\nRolling ile fixed bölümünde açıklandığı gibi, dondurulmuş paket modeli, CVE\u0026rsquo;si olmayan bazı güvenlik düzeltmelerinin asla stable\u0026rsquo;a girmemesi anlamına gelir Paketler daha eskidir: bir yazılımın en son sürümüne ihtiyacınız varsa backport\u0026rsquo;lara veya Flatpak\u0026rsquo;lere güvenmeniz gerekir Upstream düzeltmelerindeki gecikmeyi yumuşatmak için en çok kullandığınız uygulamaları (özellikle tarayıcıyı) Flatpak ile kurmanız önerilir: Bu şekilde Debian\u0026rsquo;ın sürüm döngüsünden bağımsız olarak güncel kalırlar, temel sistem de aradığınız kararlılığı sağlar.\nFedora Atomic Desktops: değişmez gelecek Fedora\u0026rsquo;nın Atomic varyantları (GNOME için Silverblue, KDE için Kinoite) değişmez bir yaklaşım kullanır: temel sistem salt okunurdur ve güncellemeler uygulanmadan önce eksiksiz imajlar olarak indirilir.\nBu, bir güncellemenin yarı yolda başarısız olup sizi bozuk bir sistemle baş başa bırakamayacağı anlamına gelir. Bir şeyler ters giderse, tek bir yeniden başlatma sizi önceki duruma geri döndürür. Uygulamalar esas olarak Flatpak (sandboxed) veya konteynerler (Toolbox/Distrobox) üzerinden kurulur.\nEksileri:\nGeleneksel Linux\u0026rsquo;tan farklı bir iş akışı (uyum süreci gerektirir) Flatpak olarak mevcut olmayan bazı yazılımlar geçici çözümler gerektirir GRUB\u0026rsquo;a bağımlılık, Unified Kernel Image kullanımını engeller (ileri düzey Secure Boot\u0026rsquo;u sınırlar) SecureBlue: otomatik sertleştirme SecureBlue, Fedora Atomic tabanlıdır ve önemli bir sertleştirme katmanı ekler:\nTrivalent: GrapheneOS Vanadium yamalarına sahip sertleştirilmiş bir Chromium tarayıcı Hardened Malloc: GrapheneOS\u0026rsquo;un bellek ayırıcısının tüm sisteme uygulanması Önceden uygulanmış çekirdek güvenlik yapılandırmaları Gereksiz çekirdek modüllerinin kara listesi Manuel yapılandırma çabasını en aza indirip maksimum güvenlik isteyenler için önerdiğim dağıtım budur. Tek dezavantajı, Fedora\u0026rsquo;nın yanı sıra ek bir projeye daha güvenilmesini gerektirmesidir.\nopenSUSE Aeon: rolling ve değişmez Değişmez dünyadaki rolling release alternatifi. İşlemsel snapshot\u0026rsquo;larla Btrfs kullanır: güncellemeler bir snapshot\u0026rsquo;a uygulanır ve yalnızca yeniden başlatmada etkinleştirilir, her zaman geri dönme imkânı vardır.\nMinimal bir temel paket setine sahiptir (saldırı yüzeyini azaltır) ve sistem salt okunur olarak bağlanır.\nQubes OS: bölümleme yoluyla güvenlik Qubes OS diğerlerinden farklı bir önermeyle başlar: tek bir sistemi sertleştirmek yerine, Xen hipervizörü sayesinde her etkinliği ayrı sanal makinelere (\u0026ldquo;qube\u0026rdquo; denir) izole eder. Bankacılık, iş, kişisel etkinlikler ve güvenilmeyen indirmeler için tarayıcı, birbirini görmeyen farklı bölmelerde çalışır.\nBir qube ele geçirilirse, zarar orada sınırlı kalır: kötü amaçlı yazılım diğer bölmelere veya alttaki sisteme ulaşamaz. Tek kullanımlık (disposable) qube\u0026rsquo;lar kapatıldığında kendilerini yok eder, şüpheli bir eki risksiz açmak için idealdir. İzolasyonu her şeyin önünde tutanlar için \u0026ldquo;kullanıma hazır\u0026rdquo; güvenli temeldir: önceden yapılandırılmış şablonlar ve tüm qube\u0026rsquo;ları Tor üzerinden yönlendirmek için Whonix entegrasyonu ile gelir.\nQubes\u0026rsquo;i seçme nedenleri:\nTasarım gereği bölümleme: izolasyon bir eklenti değil, sistemin kalbidir Tüm türetilmiş qube\u0026rsquo;lar için bir kez güncellediğiniz kullanıma hazır şablonlar (Fedora, Debian) Tor trafiği için yerel Whonix entegrasyonu En yüksek güvenlik gereksinimlerine sahip kullanıcılar için önerilen sistemdir Eksileri:\nÖnemli donanım gereksinimleri: çok fazla RAM (16 GB makul minimum) ve sanallaştırma destekli bir CPU gerekir Zorlu öğrenme süreci: Qube modeli bir zihniyet değişikliği gerektirir Donanım desteği (özellikle GPU\u0026rsquo;lar ve özel çevre birimleri) sorun yaratabilir Whonix: anonimlik için Hedefiniz anonimlik ise (sadece gizlilik değil), Whonix referans noktasıdır. İki sanal makine olarak çalışır: çalıştığınız bir Workstation ve tüm trafiği Tor üzerinden yönlendiren bir Gateway.\nKötü amaçlı yazılım Workstation\u0026rsquo;ı ele geçirse bile, tüm ağ trafiği Gateway üzerinden geçtiği için gerçek IP adresinizi keşfedemez. Ayrıca tuş vuruşu anonimleştirme, boot saati randomizasyonu, şifrelenmiş swap ve sertleştirilmiş çekirdek parametreleri içerir.\nEksileri:\nDebian tabanlı (daha eski paketler) Sanallaştırma gerektirir (düşük performans) Birincil işletim sistemi olarak uygun değil Kaçınılması gereken dağıtımlar Bazı dağıtımlar yanlış nedenlerle sıklıkla önerilir:\nKali Linux, BlackArch, Parrot OS: bunlar penetrasyon testi araçlarıdır, günlük kullanım için güvenli sistemler değildir. Önceden kurulu saldırı araçlarına sahiptir ve genellikle root olarak çalışır. bu dağıtımları günlük masaüstü olarak kullanmak, markete gitmek için ambulans çağırmaya benzer. Linux-libre çekirdekli dağıtımlar: tescilli microcode için güvenlik azaltımlarını kaldırır ve CPU güvenlik açığı uyarılarını bastırır. İdeolojik nedenlerle gerçek güvenliğinizi feda etmektedirler. Manjaro: gerçek bir kararlılık avantajı sunmadan paketleri Arch\u0026rsquo;a kıyasla geride tutar ve gereksiz bir güvenlik açığı riski oluşturur. Disk şifreleme ile güvenli Linux kurulumu Tamam, dağıtımınızı seçtiniz. şimdi sıfırdan doğru bir şekilde nasıl kurulacağını inceleyelim. Bu yapılandırmalardan bazıları sonradan yapılamaz, bu yüzden son derece dikkatli olmak gerekir.\nTam disk şifreleme (LUKS) Kurulum sırasında tam disk şifrelemeyi etkinleştirmek esastır. LUKS (Linux Unified Key Setup) ile diskinizdeki tüm veriler şifrelenir: cihazınızın çalınması durumunda, parola girilmeden verilere erişilemez.\nDİKKAT! Kurulum sırasında şifrelemeyi etkinleştirmezseniz, tüm verilerinizi yedeklemeniz ve sıfırdan yeniden kurulum yapmanız gerekecektir. Zaten kullanımda olan bir diski veri kaybı olmadan şifrelemek mümkün değildir.\nKurulum sırasında, bölümlendirme aşamasına gelindiğinde:\nDisk şifreleme seçeneğini seçin (Fedora\u0026rsquo;da \u0026ldquo;Encrypt my data\u0026rdquo; denir) Uzun ve karmaşık bir parola belirleyin (bu krallığınızın anahtarıdır) Kurulum aracınız destekliyorsa, kimlik doğrulamalı şifreleme elde etmek için cryptsetup ile --integrity seçeneğini kullanın En yüksek güvenliği hedefleyenler için: Kimlik doğrulamalı şifreleme, verilerin sadece okunamaz olduğunu değil, üzerinde oynama yapılmadığını da doğrular. Sofistike fiziksel saldırılara karşı ek bir koruma katmanıdır.\nŞifrelenmiş swap Swap, RAM dolduğunda ek bellek olarak kullanılan disk alanıdır. Sorun şu ki, açık metin olarak hassas veriler (parolalar, şifreleme anahtarları, açık belgeler) içerebilir.\nİki seçenek var:\nŞifrelenmiş swap: bölümlendirme sırasında LUKS ile birlikte yapılandırın ZRAM: disk yerine sıkıştırılmış RAM kullanır. Fedora bunu varsayılan olarak kullanır ve tercih edilen seçenektir, daha hızlıdır ve hiçbir hassas veri diske yazılmaz Güvenli bağlama seçenekleriyle bölümlendirme Ek sertleştirme için, bazı bölümlerde kısıtlayıcı bağlama (mount) seçenekleri yapılandırabilirsiniz:\nBölüm Seçenekler Etki /boot nodev,noexec,nosuid Boot bölümünde kod çalıştırılmasını engeller /boot/efi nodev,noexec,nosuid EFI bölümünü korur /var nodev,nosuid Değişken veri bölümünde izinleri sınırlar Dikkat! noexec parametresini /home veya /root dizinlerine eklemeyiniz; zira bu işlem Flatpak ve Snap uygulamalarını bozabilir. Benzer şekilde, Arch Linux kullanıyorsanız /var/tmp dizininde noexec seçeneğinden kaçınmanız gerekir (AUR derlemeleri başarısız olur).\nBu seçenekler kusursuz olmasa da (noexec nispeten kolay aşılabilir) otomatikleştirilmiş saldırıları engelleyebilen bir derinlemesine savunma katmanı eklerler.\nGenel kullanıcı adı ve hostname Çoğu kişinin gözden kaçırdığı bir ayrıntı: kullanıcı adınız ve cihaz adınız (hostname) ağ üzerinde çeşitli şekillerde iletilebilir ve sizi tanımlamak için kullanılabilir.\nAdınız yerine user gibi genel bir kullanıcı adı kullanın Hostname\u0026rsquo;i localhost olarak ayarlayın: sudo hostnamectl hostname \u0026#34;localhost\u0026#34; Kurulum sonrası sertleştirme: güncellemeler ve temel yapılandırma Kurulum tamamlandı, disk şifrelendi ve bölümler yapılandırıldı. Artık gerçek sertleştirme (hardening) işlemlerine başlanabilir.\nGüncellemeler ve microcode Her şeyden önce sistemi güncelleyin:\n# Fedora sudo dnf upgrade --refresh # Debian/Ubuntu sudo apt update \u0026amp;\u0026amp; sudo apt upgrade -y # Arch sudo pacman -Syu Sonra CPU microcode\u0026rsquo;unun kurulu olduğundan emin olun. Microcode, hata ve güvenlik açıklarını doğrudan işlemcide düzelten ürün yazılımıdır (firmware). Bu güncelleme olmadan, donanımsal işlemci açıklarına (Spectre, Meltdown vb.) karşı savunmasız kalabilirsiniz.\n# Fedora (varsayılan olarak dahil) # Şununla doğrulayın: dnf list installed | grep microcode # Debian sudo apt install intel-microcode # Intel CPU\u0026#39;lar için sudo apt install amd64-microcode # AMD CPU\u0026#39;lar için # Arch sudo pacman -S intel-ucode # Intel CPU\u0026#39;lar için sudo pacman -S amd-ucode # AMD CPU\u0026#39;lar için Firmware güncellemeleri Cihazlarda güvenlik düzeltmeleri içeren ve güncellenebilir ürün yazılımları (firmware) bulunur. fwupd kullanın:\nsudo fwupdmgr refresh sudo fwupdmgr update Telemetriyi devre dışı bırakma Bazı dağıtımlar kullanım hakkında anonim veri toplar. Niyetler iyi olsa da, ne kadar az veri paylaşılırsa o kadar güvenlidir:\n# Fedora — kurulum sayımını devre dışı bırakır echo \u0026#34;countme=false\u0026#34; | sudo tee -a /etc/dnf/dnf.conf # openSUSE — anonim tanımlayıcıyı boşaltır sudo truncate -s 0 /var/lib/zypp/AnonymousUniqueId Kısıtlayıcı umask yapılandırma umask, yeni dosyaların varsayılan izinlerini kontrol eder. Varsayılan değer (022) sistemdeki tüm kullanıcılar tarafından okunabilir dosyalar oluşturur. 077 ile, oluşturduğunuz dosyaları yalnızca kendi kullanıcınız okuyabilir:\n# /etc/profile veya /etc/bash.bashrc\u0026#39;ye ekleyin umask 077 Dikkat! openSUSE üzerinde bu Snapper aracını bozabilir. Ubuntu\u0026rsquo;da /etc/apt/sources.list.d/ altındaki depo dosyalarının 600 yerine 644 izinlerine sahip olması gerekmektedir. İşlemi uyguladıktan sonra doğruluğunu kontrol ediniz.\nAğ sertleştirme: güvenlik duvarı, DNS ve MAC randomizasyonu Ağ, en yaygın saldırı vektörlerinden biridir. Şimdi ağın nasıl güvenli hale getirileceğini inceleyelim.\nMAC adresi randomizasyonu MAC adresi, ağ kartınızın benzersiz bir tanımlayıcısıdır. bir Wi-Fi ağına her bağlandığınızda, yönlendirici (router) bu adresi görür ve cihazı izleyebilir. MAC adresi randomize edildiğinde, her bağlantı farklı bir cihaz gibi görünecektir.\n/etc/NetworkManager/conf.d/00-macrandomize.conf dosyasını oluşturun:\n[device] wifi.scan-rand-mac-address=yes [connection] wifi.cloned-mac-address=random ethernet.cloned-mac-address=random Sonra NetworkManager\u0026rsquo;ı yeniden başlatın:\nsudo systemctl restart NetworkManager Güvenlik duvarı Güvenlik duvarı kullanımı kesinlikle zorunludur. Önerilen yapılandırma kısıtlayıcı olmalıdır: Açıkça izin verilmeyen tüm gelen trafik engellenmelidir.\nFedora/openSUSE (firewalld) # Varsayılan bölgeyi \u0026#34;drop\u0026#34; olarak ayarla (her şeyi engeller) sudo firewall-cmd --set-default-zone=drop # ICMPv6\u0026#39;ya izin ver (IPv6\u0026#39;nın çalışması için gerekli) sudo firewall-cmd --add-protocol=ipv6-icmp --permanent # DHCPv6\u0026#39;ya izin ver (IPv6 adresi almak için gerekli) sudo firewall-cmd --add-service=dhcpv6-client --permanent # Kuralları uygula sudo firewall-cmd --reload # Lockdown\u0026#39;ı etkinleştir (polkit üzerinden bypass\u0026#39;ı önler) sudo firewall-cmd --lockdown-on Debian/Ubuntu (ufw) sudo apt install ufw sudo ufw default deny incoming sudo ufw default allow outgoing sudo ufw enable ufw firewalld\u0026rsquo;den daha basit ama daha az esnektir. Bölgeleri desteklemez ve lockdown modu yoktur. Masaüstü bilgisayar için yine de fazlasıyla yeterlidir.\nYazılımsal bir güvenlik duvarının, sistemde yüksek yetkilerle çalışan zararlı yazılımlara karşı tek başına koruma sağlayamayacağı unutulmamalıdır. Bu yalnızca bir savunma katmanıdır, tam bir çözüm değildir.\nDNSSEC Geleneksel DNS açık metin ve kimlik doğrulamasızdır: kullanıcı ile DNS sunucusu arasındaki bağlantıyı dinleyen herkes sorguları görebilir ve yanıtları değiştirebilir. DNSSEC, DNS yanıtlarına kriptografik bir imza ekler.\nsystemd-resolved kullanıyorsanız:\n# /etc/systemd/resolved.conf\u0026#39;u düzenleyin # Ayarlayın: DNSSEC=yes # Hizmeti yeniden başlatın sudo systemctl restart systemd-resolved DNSSEC destekli bir DNS sağlayıcısı kullandığınızdan emin olunuz. Ek bir gizlilik katmanı için DNS-over-TLS veya DNS-over-HTTPS protokollerini kullanmayı değerlendirebilirsiniz.\nGüvenli zaman senkronizasyonu Zaman senkronizasyonu için standart protokol olan NTP, açık metin ve kimlik doğrulaması olmadan iletim yapar. Bir saldırgan, sistem saatini manipüle ederek TLS sertifikalarının ve sistem günlüklerinin doğruluğunu tehlikeye atabilir.\nÇözüm, chronyd servisiyle Network Time Security (NTS) kullanmaktır:\n# chrony\u0026#39;yi kurun (henüz yoksa) # Fedora: zaten dahil # Debian/Ubuntu: sudo apt install chrony /etc/chrony.conf\u0026lsquo;u düzenleyin ve NTS sunucuları kullanın. İyi bir referans GrapheneOS\u0026rsquo;un yapılandırmasıdır:\nserver time.cloudflare.com iburst nts server ntppool1.time.nl iburst nts server nts.netnod.se iburst nts server ptbtime1.ptb.de iburst nts minsources 2 minsources 2 parametresi, en az iki bağımsız kaynağın saat bilgisi üzerinde mutabık olmasını gerektirir. Bu durum, olası zaman manipülasyonu saldırılarını zorlaştırır.\nchrony için seccomp filtresini etkinleştirin:\n# Fedora/Arch — /etc/sysconfig/chronyd\u0026#39;yi düzenleyin OPTIONS=\u0026#34;-F 1\u0026#34; # Sonra yeniden başlatın sudo systemctl restart chronyd Linux çekirdek sertleştirmesi: sysctl, boot ve modüller Çekirdek, işletim sisteminin kalbidir. Çekirdeğin sertleştirilmesi, olası zararlı yazılımların kullanabileceği saldırı yüzeyini önemli ölçüde daraltır.\nsysctl parametreleri sysctl parametreleri, çekirdeğin çalışma zamanındaki davranışını kontrol eder. Aşağıdaki temel yapılandırmaları içeren bir /etc/sysctl.d/99-hardening.conf dosyası oluşturunuz:\n# Ağ koruması net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.default.accept_redirects = 0 net.ipv6.conf.all.accept_redirects = 0 net.ipv6.conf.default.accept_redirects = 0 net.ipv4.conf.all.send_redirects = 0 net.ipv4.conf.default.send_redirects = 0 net.ipv4.conf.all.accept_source_route = 0 net.ipv4.conf.default.accept_source_route = 0 net.ipv6.conf.all.accept_source_route = 0 net.ipv6.conf.default.accept_source_route = 0 net.ipv4.conf.all.rp_filter = 1 net.ipv4.conf.default.rp_filter = 1 net.ipv4.icmp_echo_ignore_all = 1 net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_timestamps = 0 # Çekirdek koruması kernel.sysrq = 0 kernel.core_uses_pid = 1 kernel.kptr_restrict = 2 kernel.dmesg_restrict = 1 kernel.perf_event_paranoid = 3 kernel.yama.ptrace_scope = 2 kernel.unprivileged_bpf_disabled = 1 net.core.bpf_jit_harden = 2 # Bellek koruması vm.mmap_rnd_bits = 32 vm.mmap_rnd_compat_bits = 16 vm.swappiness = 1 # Maksimum ASLR kernel.randomize_va_space = 2 Şununla uygulayın:\nsudo sysctl --system Bu parametrelerin temel ihtiyaçları karşıladığını söyleyelim. Daha kapsamlı bir yapılandırma için, iş istasyonları (workstation) için güncel bir sysctl şablonu sunan TommyTran732\u0026rsquo;nin deposuna başvurabilirsiniz.\nÇekirdek boot parametreleri Bu parametrelerin bootloader yapılandırmasına (GRUB veya systemd-boot) eklenmesi gerekir. rpm-ostree\u0026rsquo;li sistemlerde (Fedora Atomic), GRUB\u0026rsquo;u düzenlemek yerine rpm-ostree kargs kullanın.\nCPU azaltımları mitigations=auto,nosmt spectre_v2=on spectre_bhi=on spec_store_bypass_disable=on tsx=off kvm.nx_huge_pages=force nosmt=force l1d_flush=on spec_rstack_overflow=safe-ret gather_data_sampling=force reg_file_data_sampling=on DİKKAT! SMT\u0026rsquo;yi (Simultaneous Multi-Threading / Hyper-Threading) devre dışı bırakmanın performans üzerinde önemli bir etkisi vardır. Yoğun iş yükleriyle (derleme, video düzenleme, oyun) çalışıyorsanız, risk seviyesini göz önünde bulundurarak nosmt=force parametresini kaldırmak isteyebilirsiniz.\nBellek ve çekirdek koruması slab_nomerge init_on_alloc=1 init_on_free=1 pti=on vsyscall=none page_alloc.shuffle=1 randomize_kstack_offset=on debugfs=off oops=panic quiet loglevel=0 Bu parametreler:\nslab_nomerge: slab cache\u0026rsquo;lerinin birleştirilmesini önler (heap exploit\u0026rsquo;lerin etkinliğini azaltır) init_on_alloc=1 init_on_free=1: bellek tahsis edildiğinde ve serbest bırakıldığında sıfırlar (veri sızıntılarını önler) pti=on: çekirdek sayfa tablolarını kullanıcı tablolarından izole eder (Meltdown azaltımı) vsyscall=none: eski vsyscall\u0026rsquo;ları devre dışı bırakır (bilinen bir saldırı vektörü) debugfs=off: debug dosya sistemini devre dışı bırakır (saldırı yüzeyini azaltır) DMA azaltımları intel_iommu=on amd_iommu=force_isolation efi=disable_early_pci_dma iommu=force iommu.passthrough=0 iommu.strict=1 Bunlar donanım cihazlarından (Thunderbolt veya PCIe gibi) gelen DMA saldırılarına karşı korur. Bu parametrelerin tam bir koruma sunmadığı unutulmamalıdır: Erken önyükleme (early boot) aşamasındaki bir saldırı, IOMMU etkinleşmeden önce çekirdeği ele geçirebilir.\nFedora\u0026rsquo;da nasıl uygulanır (GRUB) # /etc/default/grub\u0026#39;u düzenleyin # Parametreleri GRUB_CMDLINE_LINUX\u0026#39;a ekleyin sudo grub2-mkconfig -o /boot/grub2/grub.cfg Fedora Atomic\u0026rsquo;te nasıl uygulanır (rpm-ostree) rpm-ostree kargs --append=\u0026#34;slab_nomerge\u0026#34; --append=\u0026#34;init_on_alloc=1\u0026#34; --append=\u0026#34;init_on_free=1\u0026#34; --append=\u0026#34;pti=on\u0026#34; # Her parametreyi tek tek ekleyin Çekirdek modülleri kara listesi Birçok çekirdek modülü otomatik olarak yüklenir ama donanımınız için gerekli değildir. Yüklenen her modül, maksimum ayrıcalıklarla çalışan ek koddur, potansiyel bir saldırı yüzeyidir.\n/etc/modprobe.d/blacklist.conf dosyasını oluşturun. İyi bir başlangıç noktası SecureBlue\u0026rsquo;nun kara listesidir .\nKullanılmıyorsa devre dışı bırakılması önerilen başlıca modüller şunlardır:\n# Gereksiz dosya sistemleri install cramfs /bin/false install freevxfs /bin/false install hfs /bin/false install hfsplus /bin/false install jffs2 /bin/false install udf /bin/false # Gereksiz ağ protokolleri install dccp /bin/false install sctp /bin/false install rds /bin/false install tipc /bin/false # Bluetooth (kullanıyorsanız yorum satırına alın) install bluetooth /bin/false install btusb /bin/false # Thunderbolt (kullanıyorsanız yorum satırına alın) install thunderbolt /bin/false # Webcam (kullanıyorsanız yorum satırına alın) install uvcvideo /bin/false Dikkat! hfsplus\u0026lsquo;ı devre dışı bırakmadan önce, EFI bölümünüzün dosya sistemini kontrol edin. HFS+ ise, bu modülü devre dışı bırakmak sistemin açılmasını engeller. df -T /boot/efi ile kontrol edin.\nHardened Memory Allocator Varsayılan bellek ayırıcısı (glibc malloc) bellek bozulmasına dayalı exploit\u0026rsquo;lere karşı gelişmiş korumalara sahip değildir. GrapheneOS\u0026rsquo;un hardened_malloc\u0026lsquo;u, koruma alanları, randomizasyon ve bütünlük kontrolleri ekleyen bir alternatiftir.\n# Fedora — SecureBlue\u0026#39;nun Copr deposundan sudo dnf copr enable secureblue/hardened_malloc sudo dnf install hardened_malloc # Arch — AUR\u0026#39;dan yay -S hardened_malloc-git Genel olarak etkinleştirmek için /etc/ld.so.preload\u0026lsquo;a ekleyin:\n/usr/lib64/libhardened_malloc.so Veya tek bir uygulama için:\nLD_PRELOAD=/usr/lib64/libhardened_malloc.so firefox Alternatif çekirdekler Daha ileri gitmek isteyenler için, ek sertleştirme yamalarına sahip çekirdekler mevcuttur:\nlinux-hardened (Arch Linux): güvenlik yamaları içerir, varsayılan olarak ayrıcalıksız user namespace\u0026rsquo;leri devre dışı bırakır (Podman/LXC/Flatpak\u0026rsquo;i bozabilir, uyumluluğu kontrol edin) grsecurity: çekirdek sertleştirmesinin altın standardı, ama tescillidir ve ücretli bir abonelik gerektirir Uygulama Yalıtımı: Flatpak, Firejail ve SELinux Standart bir Linux masaüstünde, herhangi bir uygulama neredeyse tüm kaynaklara (kullanıcı dosyaları, ağ bağlantıları, çevre birimleri ve diğer çalışan uygulamalar) erişebilir. Sandbox mimarisi bu erişimleri en aza indirir.\nFlatpak: önerilen seçenek Flatpak, Linux masaüstünde yalıtım (sandboxing) için en gelişmiş paket yönetim sistemidir. Her uygulama, önceden tanımlanmış izinlerle yalıtılmış bir alanda çalışır.\nSorun şu ki, birçok Flatpak uygulaması varsayılan olarak çok geniş izinler talep eder. İşte bunları nasıl kısıtlayacağınız.\nİzinlerin genel olarak kısıtlanması Öncelikle tüm uygulamalara kısıtlayıcı bir global politika uygulanmalı, ardından ihtiyaç duyulan durumlarda özel izinler verilmelidir:\nsudo flatpak override --system \\ --nosocket=x11 --nosocket=fallback-x11 \\ --nosocket=pulseaudio --nosocket=session-bus \\ --nosocket=system-bus --unshare=network \\ --unshare=ipc --nofilesystem=host:reset \\ --nodevice=input --nodevice=shm --nodevice=all \\ --no-talk-name=org.freedesktop.Flatpak \\ --no-talk-name=org.freedesktop.systemd1 \\ --no-talk-name=ca.desrt.dconf \\ --no-talk-name=org.gnome.Shell.Extensions Sonra kullanıcı düzeyinde kurulum için aynısını yapın:\nflatpak override --user \\ --nosocket=x11 --nosocket=fallback-x11 \\ --nosocket=pulseaudio --nosocket=session-bus \\ --nosocket=system-bus --unshare=network \\ --unshare=ipc --nofilesystem=host:reset \\ --nodevice=input --nodevice=shm --nodevice=all \\ --no-talk-name=org.freedesktop.Flatpak \\ --no-talk-name=org.freedesktop.systemd1 \\ --no-talk-name=ca.desrt.dconf \\ --no-talk-name=org.gnome.Shell.Extensions Anlaşılması gereken kritik izinler En tehlikeli izinlerin ne anlama geldiği şöyle:\nİzin Risk --socket=session-bus / --socket=system-bus D-Bus üzerinden sandbox kaçışına izin verir --talk-name=org.freedesktop.Flatpak Flatpak\u0026rsquo;in D-Bus\u0026rsquo;u üzerinden sandbox kaçışına izin verir --talk-name=org.freedesktop.systemd1 Keyfi systemd hizmetlerinin yüklenmesine izin verir --talk-name=ca.desrt.dconf Keybinding değiştirmeye izin verir (komut çalıştırma) --device=all Tüm cihazlara erişim (webcam, mikrofon, vb.) --filesystem=host Tüm dosya sistemine erişim --share=network Ağ erişimi Önerilen yöntem, öncelikle tüm izinleri kapatıp uygulamanın çalışmasını test etmektir. Uygulama hata verirse, çalışması için gereken en düşük izin seviyesini belirleyene kadar izinleri tek tek açabilirsiniz.\nFlatseal: görsel izin yönetimi Flatpak izinlerini grafiksel bir arayüz üzerinden kolayca yönetmek için Flatseal uygulamasını kurabilirsiniz:\nflatpak install flathub com.github.tchx84.Flatseal flatpak --user override com.github.tchx84.Flatseal \\ --filesystem=/var/lib/flatpak/app:ro \\ --filesystem=xdg-data/flatpak/app:ro \\ --filesystem=xdg-data/flatpak/overrides:create Flatseal, her Flatpak uygulamasının tüm izinlerini açık ve basit bir grafik arayüzle gösterecektir.\nDİKKAT! Otomatik Flatpak güncellemelerini açık bırakmayınız; zira bir uygulama güncellendiğinde talep ettiği yeni izinler onayınız olmadan sisteme tanımlanabilir. Güncellemeleri manuel olarak gerçekleştirip sürüm notlarını (changelog) incelemeniz önerilir.\nFirejail: yerel uygulamalar için Dağıtımın depolarından kurulan uygulamalar (Flatpak değil) için Firejail, namespace ve seccomp tabanlı sandboxing sağlayabilir:\n# Kurulum sudo apt install firejail # Debian/Ubuntu sudo dnf install firejail # Fedora sudo pacman -S firejail # Arch # Profili olan tüm uygulamalar için otomatik etkinleştirme sudo firecfg firecfg, menüden başlattığınızda uygulamaları otomatik olarak Firejail üzerinden geçiren symlink\u0026rsquo;ler oluşturur.\nFirejail\u0026rsquo;in sınırlamaları:\nÖnemli bir saldırı yüzeyine sahip (yükseltilmiş ayrıcalıklar) çok büyük bir SUID ikilik dosyasıdır Uygulamayı menüden değil doğrudan /usr/bin/uygulama_adı\u0026lsquo;ndan başlatırsanız sandboxing aşılabilir Flatpak\u0026rsquo;e kıyasla ana avantajı: Xpra/Xephyr kullanarak X11 pencerelerini sınırlandırabilir Flatpak paketleri öncelikli olarak tercih edilmelidir. Firejail ise yalnızca Flatpak sürümü bulunmayan uygulamalar için değerlendirilmelidir.\nMandatory Access Control (MAC) SELinux ve AppArmor gibi MAC sistemleri, geleneksel Unix izinlerinin ötesine geçen bir erişim kontrol katmanı ekler. Bir uygulama root olarak çalışsa bile, MAC onun politika tarafından yetkilendirilmemiş kaynaklara erişmesini engelleyebilir.\nFedora: SELinux varsayılan olarak aktif ve enforcing modda. Devre dışı bırakmayın openSUSE: kurulum sırasında SELinux ve AppArmor arasında seçim yapabilirsiniz Arch: AppArmor\u0026rsquo;u manuel olarak kurmanız ve yapılandırmanız gerekir Standart masaüstü dağıtımlarında MAC yapısının tüm uygulamaları değil, yalnızca belirli sistem servislerini (daemon) sınırladığı unutulmamalıdır.\nSecure Boot ve sistemin fiziksel güvenliği Cihaza fiziksel erişim sağlanabiliyorsa, yazılımsal güvenlik önlemlerinin etkisi büyük ölçüde azalacaktır.\nÖzel anahtarlarla Secure Boot Standart Secure Boot, önyükleyici (bootloader) ve çekirdeğin güvenilir anahtarlarla (genellikle Microsoft anahtarlarıyla) imzalandığını doğrular. Ancak Microsoft anahtarları, çok sayıda üçüncü taraf sürücüyü imzaladığı için geniş bir saldırı yüzeyi oluşturmaktadır.\nsbctl aracı yardımıyla kendi kişisel imza anahtarlarınızı sisteme tanımlayabilirsiniz:\nUEFI firmware\u0026rsquo;ine girin ve Secure Boot\u0026rsquo;u \u0026ldquo;setup mode\u0026quot;a alın Linux\u0026rsquo;u başlatın ve sbctl\u0026rsquo;i kurun Anahtarlarınızı oluşturun ve kaydedin: # Kurulum (Arch) sudo pacman -S sbctl # Anahtar oluşturma sudo sbctl create-keys # Anahtar kaydı sudo sbctl enroll-keys # Çekirdek ve bootloader\u0026#39;ın imzalanması sudo sbctl sign -s /boot/vmlinuz-linux sudo sbctl sign -s /boot/EFI/BOOT/BOOTX64.EFI Fedora üzerinde bu prosedür farklı adımlar gerektirebilir; dolayısıyla işlemlere başlamadan önce dağıtımın güncel belgeleri incelenmelidir.\nDİKKAT! Bu işlem, uyumsuz bazı UEFI donanımları kullanılamaz hale (brick) getirebilir. İşlemlere başlamadan önce donanım uyumluluğunu araştırınız. Tedbir olarak bir EEPROM kurtarma yöntemi bulundurmanız önerilir.\nUnified Kernel Image (UKI) Bir UKI, çekirdeği, initramfs yapısını ve mikro kodları tek bir imzalı imajda birleştirir. Bu yöntem, initramfs üzerinde oynama yapılmasını engelleyerek standart Secure Boot\u0026rsquo;un koruyamadığı bir saldırı vektörünü kapatır.\nYapılandırma her dağıtım ve bootloader için özeldir. systemd-boot ve dracut\u0026rsquo;lu Fedora\u0026rsquo;da süreç şunları içerir:\nUKI oluşturmak için dracut\u0026rsquo;u yapılandırma UKI\u0026rsquo;yi sbctl anahtarlarıyla imzalama Şifreleme anahtarlarını TPM\u0026rsquo;in PCR\u0026rsquo;lerine bağlama (minimum PCR 7, ideal olarak PCR 0,1,2,3,5,7,14) Not: UKI\u0026rsquo;ler şu anda Fedora Silverblue/Kinoite ile iyi çalışmıyor. Bu bilinen bir sınırlamadır.\nKurulum sonrası korumalar UEFI parolası: boot ayarlarındaki değişiklikleri önlemek için UEFI firmware\u0026rsquo;inde bir supervisor/administrator parolası ayarlayın USB\u0026rsquo;den boot\u0026rsquo;u devre dışı bırakma: birinin donanımınızdan canlı bir sistem başlatmasını önler USBGuard: hangi USB cihazlarının yetkilendirildiğini kontrol ederek BadUSB ve Rubber Ducky saldırılarına karşı koruma sağlar sudo dnf install usbguard # Fedora sudo apt install usbguard # Debian/Ubuntu # Şu anda bağlı cihazlara dayalı bir politika oluştur sudo usbguard generate-policy \u0026gt; /etc/usbguard/rules.conf sudo systemctl enable --now usbguard Medya otomatik bağlamayı devre dışı bırakma USB bellek ve diğer çıkarılabilir medyaların otomatik bağlanması klasik bir saldırı vektörüdür. GNOME\u0026rsquo;da:\necho \u0026#39;[org/gnome/desktop/media-handling] automount=false automount-open=false\u0026#39; | sudo tee /etc/dconf/db/local.d/automount-disable echo \u0026#39;org/gnome/desktop/media-handling/automount org/gnome/desktop/media-handling/automount-open\u0026#39; | sudo tee /etc/dconf/db/local.d/locks/automount-disable sudo dconf update SSH sertleştirme, kimlik doğrulama ve erişim SSH sertleştirme SSH servisi aktif durumdaysa, doğru bir şekilde yapılandırılması kritik öneme sahiptir. /etc/ssh/sshd_config\u0026lsquo;i düzenleyin:\n# Root olarak girişi devre dışı bırak PermitRootLogin no # Sadece public key kimlik doğrulaması PasswordAuthentication no PubkeyAuthentication yes # Giriş denemelerini sınırla MaxAuthTries 3 # Gereksiz yönlendirmeyi devre dışı bırak X11Forwarding no AllowTcpForwarding no AllowAgentForwarding no # İnaktif oturumlar için zaman aşımı ClientAliveInterval 300 ClientAliveCountMax 2 # Bağlanabilecek kullanıcıları sınırla AllowUsers kullanıcı_adınız Değişikliklerden sonra:\nsudo systemctl restart sshd Kimlik doğrulama amacıyla şifre kullanımının tamamen kapatılması ve yalnızca SSH anahtarlarının tercih edilmesi önemle tavsiye edilir. Bir anahtar çifti oluşturmak için:\nssh-keygen -t ed25519 -a 100 FIDO2 ile iki faktörlü kimlik doğrulama Yerel giriş ve sudo için, bir FIDO2 anahtarı (YubiKey gibi) kullanarak ikinci bir faktör ekleyebilirsiniz:\n# Kurulum sudo dnf install pam-u2f # Fedora sudo apt install libpam-u2f # Debian/Ubuntu # Anahtarın kaydı mkdir -p ~/.config/Yubico pamu2fcfg \u0026gt; ~/.config/Yubico/u2f_keys Dikkat! pam-u2f modülü yapılandırılırken origin ve appid parametreleri için sabit (hardcoded) değerler kullanılmalıdır. Varsayılan pam://$HOSTNAME değerleri tercih edilmemelidir; aksi halde hostname değiştirildiğinde sisteme giriş yapılamayacaktır.\nPAM sertleştirme (Fedora/RHEL) Red Hat tabanlı dağıtımlarda, authselect PAM sertleştirmesini basitleştirir:\n# \u0026#34;profil_adi\u0026#34;nı şu anda kullanılan authselect profiliyle değiştirin sudo authselect select profil_adi with-faillock without-nullok with-pamaccess Bu şunları etkinleştirir:\nfaillock: çok fazla başarısız denemeden sonra hesabı kilitler without-nullok: boş parolayla girişi önler with-pamaccess: /etc/security/access.conf üzerinden erişim kontrolünü etkinleştirir Kullanıcı ve ayrıcalık yönetimi Sistem yönetiminde sıkça göz ardı edilen temel güvenlik kuralları:\nDoğrudan root kullanmayın: ayrıcalıklı komutlar için her zaman sudo (veya run0) kullanılmalıdır sudo/wheel grubunu sınırlayın: sadece gerçekten gerek duyan kullanıcılar Parola politikası: makul bir minimum uzunluk ve karmaşıklık ayarlayın Hesapları denetleyin: kullanılmayan hesapları kaldırın veya devre dışı bırakın # Login shell\u0026#39;i olan kullanıcıları kontrol et grep -v \u0026#39;/nologin\\|/false\u0026#39; /etc/passwd # Kullanılmayan bir hesabı kilitle sudo usermod -L kullanici_adi # sudo/wheel grubunda kimlerin olduğunu kontrol et getent group sudo # Debian/Ubuntu getent group wheel # Fedora/Arch Saldırı yüzeyini azaltma: gereksiz hizmetleri devre dışı bırakma Çalışan her hizmet potansiyel bir giriş noktasıdır. İlke basit: kullanılmıyorsa kapatılmalıdır.\n# Tüm aktif hizmetleri listele systemctl list-units --type=service --state=running # Gereksiz bir hizmeti devre dışı bırak sudo systemctl disable --now hizmet_adi Bir masaüstünde genellikle gereksiz olan hizmetler:\nHizmet İşlevi Ne zaman devre dışı bırakılır cups Yazdırma Yazıcınız yoksa avahi-daemon Ağ hizmeti keşfi (mDNS) Bonjour/zeroconf kullanmıyorsanız bluetooth Bluetooth Bluetooth cihazları kullanmıyorsanız sshd SSH sunucusu Kimse bilgisayarınıza uzaktan bağlanmıyorsa rpcbind RPC/NFS NFS paylaşımları kullanmıyorsanız Hangi portların dinlemede olduğunu kontrol etmek için:\nsudo ss -tulnp Tanımlanamayan veya şüpheli görünen dinleme portları varsa, devre dışı bırakılmadan önce araştırma yapılmalıdır.\nEkran Sunucusu Güvenliği: XWayland Yalıtımı Daha önce bahsedildiği gibi, Wayland artık çoğu modern dağıtımda varsayılan grafik protokolüdür. Bu, güvenlik için büyük bir adımdır, çünkü eski X11\u0026rsquo;de pencereler arasında bir yalıtım mimarisi bulunmamaktaydı.\nBununla birlikte, sisteminizde hâlâ XWayland aktif olabilir. XWayland, eski X11 uygulamalarının Wayland altında çalışmasını sağlayan bir uyumluluk katmanıdır. Sorun şu ki, eski X11 protokolünün güvenlik açıklarını sisteme yeniden dahil edebilir: XWayland altında çalışan uygulamalar, diğer XWayland uygulamalarının (ama yerel Wayland uygulamalarının değil) girişini ve ekranını potansiyel olarak yakalayabilir.\nXWayland\u0026rsquo;in aktif olup olmadığını kontrol etmek için:\n# Sonuç döndürürse, XWayland kullanılıyor xlsclients 2\u0026gt;/dev/null Çoğu kullanıcı için mevcut durum zaten iyidir: temel uygulamaların (tarayıcılar, dosya yöneticileri, terminal emülatörleri ve editörler) neredeyse tamamı yerel Wayland desteği sunmaktadır. XWayland gerektiren az sayıdaki uygulama ise genellikle eski veya özel yazılımlardır.\nMaksimum güvenlik istiyorsanız ve tüm uygulamalarınızın yerel Wayland üzerinde çalıştığından eminseniz, GNOME\u0026rsquo;da XWayland\u0026rsquo;i tamamen devre dışı bırakabilirsiniz. /etc/systemd/user/org.gnome.Shell@wayland.service.d/override.conf dosyasını oluşturun:\n[Service] ExecStart= ExecStart=/usr/bin/gnome-shell --no-x11 Electron uygulamaları (VS Code, Discord, Slack, vb.) genellikle --ozone-platform=wayland bayrağını kullanarak Wayland ile çalışır.\nGünlükleme ve denetim: sistem güvenliğini izleme Güvenli bir sistemin aynı zamanda izlenebilir ve denetlenebilir olması gerekir. Olası bir hata durumunda sistem günlükleri (loglar) durum tespiti için en önemli kaynaktır.\njournald yapılandırması Systemd journal, varsayılan günlükleme sistemidir. Sistem günlüklerinin yeniden başlatmaların ardından da korunması için kalıcı (persistent) olarak yapılandırılması önerilir:\n# Dizinin var olduğundan emin olun sudo mkdir -p /var/log/journal # /etc/systemd/journald.conf\u0026#39;u düzenleyin # Ayarlayın: Storage=persistent Compress=yes Auditd Sistem işlemlerinin daha ayrıntılı denetimi için auditd\u0026rsquo;yi kurun ve yapılandırın:\nsudo dnf install audit # Fedora sudo apt install auditd # Debian/Ubuntu sudo systemctl enable --now auditd Bir masaüstü için kullanışlı denetim kuralları:\n# Kimlik doğrulama dosyalarındaki değişiklikleri izle sudo auditctl -w /etc/passwd -p wa -k identity sudo auditctl -w /etc/shadow -p wa -k identity sudo auditctl -w /etc/group -p wa -k identity sudo auditctl -w /etc/sudoers -p wa -k sudoers # Ayrıcalıklı komutların çalıştırılmasını izle sudo auditctl -w /usr/bin/sudo -p x -k privileged sudo auditctl -w /usr/bin/su -p x -k privileged Kuralları kalıcı hale getirmek için, bunları /etc/audit/rules.d/hardening.rules\u0026lsquo;a ekleyin.\nKurulumun doğrulanması: güvenlik testleri ve denetimi Test etmediğiniz bir kuruluma asla güvenmeyin. İşte her şeyin çalıştığını nasıl doğrulayacağınız.\nDoğrulama kontrol listesi Bu kılavuzdaki yapılandırmaları uyguladıktan sonra, her bileşeni doğrulayın:\n1. Disk şifreleme\n# LUKS\u0026#39;un aktif olduğunu doğrulayın sudo cryptsetup status /dev/mapper/hacim_adi # \u0026#34;active\u0026#34; ve şifreleme detaylarını göstermelidir 2. Güvenlik duvarı\n# Fedora sudo firewall-cmd --list-all # Varsayılan bölge \u0026#34;drop\u0026#34; olmalıdır # Ubuntu sudo ufw status verbose # \u0026#34;deny (incoming)\u0026#34; göstermelidir 3. Çekirdek parametreleri\n# Boot parametrelerini kontrol edin cat /proc/cmdline # Eklediğiniz parametreleri görmelisiniz # sysctl\u0026#39;leri kontrol edin sudo sysctl kernel.kptr_restrict # 2 döndürmelidir sudo sysctl kernel.dmesg_restrict # 1 döndürmelidir 4. SELinux/AppArmor\n# SELinux (Fedora) getenforce # \u0026#34;Enforcing\u0026#34; döndürmelidir # AppArmor (Debian/Ubuntu/openSUSE) sudo aa-status # Yüklü ve aktif profilleri gösterir 5. Flatpak izinleri\n# Genel override\u0026#39;ları kontrol edin flatpak override --show # Uyguladığınız kısıtlamaları göstermelidir 6. SSH\n# SSH yapılandırmasını test edin sudo sshd -t # Hata vermemelidir # Root girişinin devre dışı olduğunu doğrulayın grep \u0026#34;PermitRootLogin\u0026#34; /etc/ssh/sshd_config # \u0026#34;no\u0026#34; göstermelidir 7. Dinleyen hizmetler\nsudo ss -tulnp # Beklenmeyen dinleyen hizmetlerin olmadığını doğrulayın 8. MAC adresi\n# MAC\u0026#39;in randomize edildiğini kontrol edin ip link show # MAC her bağlantıda değişmelidir Otomatikleştirilmiş denetim araçları Daha kapsamlı bir kontrol için şunları kullanabilirsiniz:\n# Lynis — eksiksiz güvenlik denetimi sudo dnf install lynis # Fedora sudo apt install lynis # Debian/Ubuntu sudo lynis audit system Lynis size bir güvenlik puanı ve kurulumunuzu daha da iyileştirmek için ayrıntılı bir öneri listesi verecektir.\nSonuç Tebrikler, sertleştirme adımlarını başarıyla tamamladınız! 🛡️\nStandart bir Linux kurulumunu, aşağıdaki bileşenlerle sertleştirilmiş güvenli bir sisteme dönüştürmüş bulunmaktasınız:\nBekleyen verileri korumak için disk şifreleme Ağ trafiğini kontrol etmek için kısıtlayıcı güvenlik duvarı Gelişmiş güvenlik parametreleriyle sertleştirilmiş çekirdek Uygulamaları izole etmek için sandboxing Sistem düzeyinde erişimi kontrol etmek için MAC Boot sürecini korumak için özel Secure Boot Sistemi izlemek için günlükleme ve denetim Güvenliğin sürekli bir süreç olduğu unutulmamalıdır. Sistem güncel tutulmalı, loglar düzenli olarak incelenmeli ve yeni yazılımlar yüklendiğinde güvenlik ayarları gözden geçirilmelidir.\nOkuduğunuz için teşekkür ederiz. Bu rehberin yararlı olduğunu düşünüyorsanız, diğer kullanıcılarla da paylaşabilirsiniz.\nİlgili Kılavuzlar Kendi Barındırdığın VPN: Wireguard + Pi-Hole + Unbound - Şifreli ve reklamsız bir bağlantı için kendi özel VPN\u0026rsquo;inizi kurun Tehdit Modeli Nasıl Oluşturulur - Neyi ve kimden koruyacağınızı anlamanın ilk adımı macOS Güvenliği için Eksiksiz Kılavuz - macOS da kullananlar için sertleştirme GrapheneOS Üzerine Nihai Kılavuz - Dünyanın en güvenli mobil işletim sistemi ","permalink":"https://b4.lol/tr/linux-hardening/","summary":"Eksiksiz Linux sertleştirme kılavuzu: güvenli dağıtım seçimi, LUKS disk şifreleme, güvenlik duvarı, çekirdek sertleştirme, Flatpak sandboxing ve Secure Boot.","title":"Linux Sertleştirme: Eksiksiz Güvenlik Kılavuzu"},{"content":" TL;DR - Bu rehberde öğrenecekleriniz:\nE-posta şifrelemesinin nasıl çalıştığı ve STARTTLS protokolünün neden yetersiz kaldığı, SPF, DKIM ve DMARC protokollerinin ne olduğu ve e-posta sahteciliğini (spoofing) nasıl engelledikleri, E-postanın, tüm dijital hesaplarınızın güvenliğinde neden en zayıf halka olduğu, Gelecekteki e-posta güvenliği standartları: Uçtan uca şifreleme, DKIM2 ve şifrelenmemiş e-postalara veda süreci. Özet E-posta varsayılan olarak güvenli bir iletişim yöntemi değildir: Meta verileri koruyamaz, çoğunlukla sunucular arası (hop-by-hop) geçici şifreleme kullanır ve neredeyse tüm dijital hesapların şifre sıfırlama noktasıdır. Güvenlik risklerini en aza indirmek için donanım tabanlı iki faktörlü kimlik doğrulama (2FA), güvenilir servis sağlayıcılar, uzak görsellerin yüklenmesinin devre dışı bırakılması, bağımsız hesap kurtarma yöntemleri ve SPF, DKIM ile DMARC alan adı kimlik doğrulamaları kullanılmalıdır.\nE-posta, dijital hayatın temel omurgasını oluşturur. Oluşturulan tüm hesaplar, sıfırlanan şifreler ve kritik yazışmalar neredeyse her zaman e-posta adresi üzerinden gerçekleştirilir. Ancak bu iletişim kanalının gerçekte ne kadar güvenli olduğunu bilmek önem taşır.\nE-posta, siber güvenliğin öncelikli olmadığı 1980\u0026rsquo;li yıllarda tasarlanmış bir protokoldür. Zaman içerisinde üzerine ek güvenlik katmanları eklenmiş olsa da, günümüzde karmaşık ve genellikle hatalı yapılandırılan bir mimariye dönüşmüştür.\nBu rehberde, veri aktarım şifrelemesinden alan adı doğrulamasına kadar e-posta güvenliğinin güncel durumunu inceleyecek ve gelecekte bizi nelerin beklediğini ele alacağız.\nE-posta Şifrelemesi E-postalarınızın ağ üzerinde iletilirken ve sunucularda depolanırken nasıl korunduğunu detaylarıyla inceleyelim.\nSTARTTLS: Sürüm Düşürme Riskleri STARTTLS, e-postaları aktarım sırasında şifrelemek için en yaygın kullanılan mekanizmalardan biridir. Bu yöntemde e-posta istemcisi, mesajı göndermeden önce sunucuyla bir TLS (şifreli) bağlantı müzakere eder.\nTemel zayıflığı, şifreleme müzakeresinin düz metin (cleartext) olarak başlamasıdır. Ortadaki adam (MITM) konumundaki bir saldırgan, ağ trafiğindeki STARTTLS komutunu engelleyerek bağlantıyı şifrelenmemiş olarak kalmaya zorlayabilir. Sürüm düşürme (downgrade) saldırısı olarak adlandırılan bu durumu e-posta istemcileri çoğunlukla fark edemez.\nAyrıca STARTTLS sorunsuz çalışsa bile şifreleme yalnızca sunucular arasında (hop-by-hop) gerçekleşir. Mesajın şifresi, uğradığı her ara sunucuda çözülür ve yeniden şifrelenir. Bu durum uçtan uca şifreleme (E2EE) sağlamaz; dolayısıyla veri iletim yolundaki sunucular içeriği okuyabilir.\nSMTPS: Doğrudan Şifreli Bağlantı SMTPS (Implicit TLS), sürüm düşürme risklerini ortadan kaldırır. Bağlantı kurulduktan sonra şifrelemeyi müzakere etmek yerine, web sitelerindeki HTTPS bağlantısı gibi doğrudan şifreli bir kanal üzerinden iletişime başlar.\nSMTPS protokolü varsayılan olarak 465 portunu kullanırken, STARTTLS ise 587 portunu tercih eder. Güvenlik standartları açısından SMTPS net bir gelişme olsa da, geçmişten günümüze süregelen port karmaşası sağlayıcılar arasında yapılandırma farklılıklarına neden olabilmektedir.\nPOP3S ve IMAPS Posta sunucusundan e-postaları almak için kullanılan protokoller de şifreli sürümleri desteklemektedir:\nPOP3S, 995 portu üzerinden şifreli bağlantı kurar. IMAPS, 993 portunu kullanarak verileri TLS ile korur. Bu protokoller e-postaların yerel istemcinize güvenle indirilmesini sağlasa da, mesajların sunucudaki depolama şifrelemesi sorununu tek başlarına çözemezler.\nOpenPGP: Güçlü Mimari, Zor Kullanılabilirlik OpenPGP, e-posta şifrelemesinin en eski ve bilinen yöntemlerinden biridir. Açık ve gizli anahtar çiftine dayalı asimetrik şifreleme mimarisi sunar. Gönderici, alıcının açık anahtarı (public key) ile veriyi şifreler; alıcı ise kendi gizli anahtarı (private key) ile şifreyi çözer. Aracı konumundaki sunucular veriyi okuyamaz.\nAncak anahtar yönetiminin zorluğu kullanımı kısıtlamaktadır:\nAnahtar çifti oluşturma ve açık anahtarı güvenli şekilde paylaşma gereksinimi, Gizli anahtarın çalınması durumunda geçmişe dönük tüm şifreli yazışmaların ifşa olması (forward secrecy eksikliği), E-postanın meta verilerinin (gönderici, alıcı, gönderim tarihi ve konu başlığı) şifrelenememesi. S/MIME: Kurumsal Çözüm S/MIME, e-postaları şifrelemek için X.509 dijital sertifikalarını kullanır. Sertifika yönetimi yetkili kuruluşlar (CA) üzerinden yürütüldüğü için PGP\u0026rsquo;ye kıyasla daha entegre bir yapı sunar. Ancak sertifika maliyetleri ve geçmişe dönük gizlilik sunmaması gibi nedenlerle genellikle merkezi yönetime sahip kurumsal şirketlerde tercih edilmektedir.\nWeb Key Directory (WKD) WKD, PGP açık anahtarlarının dağıtımını otomatikleştiren modern bir çözümdür. İstemciniz, alıcının açık anahtarını bulmak için harici sunucular yerine doğrudan alıcının e-posta alan adını sorgulayarak kriptografik anahtarı otomatik olarak çeker. Ancak henüz tüm sağlayıcılar tarafından desteklenmemektedir.\nE-posta Kimlik Doğrulama Protokolleri Şifreleme mesajın içeriğini korurken, kimlik doğrulama protokolleri ise gönderenin iddia ettiği kişi olup olmadığını denetler.\nSPF (Sender Policy Framework) SPF, bir alan adının hangi sunucular üzerinden e-posta göndermeye yetkili olduğunu listeleyen bir DNS kaydıdır. Alıcı sunucu, gelen e-postanın yetkili sunucudan gelip gelmediğini bu DNS kaydı üzerinden doğrular.\nSPF\u0026rsquo;nin sınırları:\nDNS protokolünün kendi güvenlik zaafiyetlerinden etkilenir. Gönderici bazlı değil, yalnızca sunucu bazlı doğrulama yapar. DNS kaydındaki politikanın gevşek tanımlanması (örneğin ~all veya +all) koruma etkisini azaltır. DKIM (DomainKeys Identified Mail) DKIM, giden e-postalara kriptografik bir dijital imza ekler. Gönderici sunucu giden mesajı kendi gizli anahtarıyla imzalar, alıcı sunucu ise DNS üzerinde yayınlanan açık anahtarı kullanarak mesajın yolda değiştirilmediğini doğrular. DKIM veriyi şifrelemez, yalnızca bütünlüğünü ve kaynağını garanti eder.\nDMARC (Domain-based Message Authentication) DMARC, SPF ve DKIM protokollerini birleştiren ve yöneten üst katmandır. SPF veya DKIM doğrulamalarından geçemeyen şüpheli e-postalara alıcı sunucunun ne yapacağını belirler:\nnone: Herhangi bir engelleme yapma (yalnızca raporla). quarantine: Şüpheli postayı gereksiz (spam) klasörüne taşı. reject: E-postayı tamamen reddet ve teslim etme. Sıkı güvenlik politikasına sahip bir DMARC kaydı örneği:\nv=DMARC1; p=reject; adkim=s; aspf=s; Burada p=reject doğrulanmayan postaların doğrudan reddedileceğini, adkim=s ve aspf=s ise sıkı eşleme kurallarının uygulanacağını gösterir.\nDNSSEC: DNS Protokolünü Güvenli Hale Getirme E-posta doğrulama kayıtlarının (SPF, DKIM, DMARC) tamamı DNS sorgularına dayanır. Ancak standart DNS protokolü sorgu yanıtlarının değiştirilmesine (DNS önbellek zehirlenmesi - cache poisoning) karşı korumasızdır. DNSSEC, DNS yanıtlarını kriptografik olarak imzalayarak bu verilerin doğruluğunu garanti altına alır.\nDANE ve MTA-STS Bu protokoller e-posta sunucuları arasındaki aktarım şifrelemesini (TLS) zorunlu kılmak için kullanılır:\nDANE: Güvenliğini DNSSEC altyapısına dayandırır ve TLSA kayıtları aracılığıyla sertifikaları doğrular. MTA-STS: Web platformundaki HSTS mantığına benzer şekilde çalışır. HTTPS protokolünü kullanarak sunucunun yalnızca şifreli TLS bağlantılarını kabul edeceğini bildirir. Tek Hata Noktası Olarak E-posta E-posta adresiniz, dijital dünyadaki hemen hemen tüm hesaplarınızın şifre sıfırlama kanalıdır. Bir saldırgan e-posta kutunuza erişim sağladığında, bu hesaba bağlı diğer tüm platformlardaki şifrelerinizi kolayca sıfırlayabilir.\nBu riskleri en aza indirmek için:\nE-posta hesabınızın giriş güvenliğini donanım anahtarı (FIDO2) gibi güçlü iki faktörlü kimlik doğrulamalarla (2FA) koruyun. Hesap kurtarma seçeneklerinde yedek e-posta adresi yerine yerel olarak saklanan çevrimdışı kurtarma kodlarını tercih edin. E-posta adresinizi tüm üyeliklerinizde tek bir ortak anahtar gibi kullanmaktan kaçının. Üçüncü Taraf İstemciler ve Saldırı Yüzeyi Harici e-posta istemcileri kullanmak esneklik sunsa da sisteme yeni bir yazılım bağımlılığı ekler. E-posta istemcileri karmaşık HTML ve JavaScript kodlarını işleyebildiği için web tarayıcılarına benzer bir saldırı yüzeyi oluştururlar. Güvenliği artırmak için istemci ayarlarından HTML yerine düz metin (plain text) görünümünü seçmeniz ve uzak görsellerin otomatik yüklenmesini kapatmanız önerilir.\nE-posta Güvenliğinin Geleceği E-posta mimarisini daha güvenli hale getirmek için geliştirilen yeni standartlar:\nKuantum Sonrası Kriptografi: Gelecekteki kuantum bilgisayarların şifre çözme kapasitesine karşı PGP ve S/MIME standartlarının güncellenmesi. DKIM2: İmzalanmış e-postaların kopyalanarak farklı alan adları üzerinden spam amacıyla yeniden gönderilmesini (replay attack) önlemek için her sunucunun kendi imzasını eklemesini zorunlu kılan yeni sürüm. MTA-STS Yaygınlaşması: Sunucular arası şifresiz e-posta trafiğinin tamamen devre dışı bırakılması. Passkey Kullanımı: Parolasız kimlik doğrulama standartlarının yaygınlaşmasıyla, şifre sıfırlama işlemlerinde e-posta adreslerine olan ihtiyacın azalması. Protokol Seviyesinde E2EE: Farklı e-posta sağlayıcıları arasında da varsayılan olarak uçtan uca şifreli veri iletimi sağlayacak SMTP geliştirmeleri. Sonuç ve Öneriler E-posta altyapısı eski standartlar üzerine kurulu olsa da doğru yapılandırmalarla güvenli hale getirilebilir. Alabileceğiniz temel önlemler:\nAlan adınızın SPF, DKIM ve DMARC kayıtlarının doğru ve sıkı politikalarla yapılandırıldığından emin olun. E-posta hesaplarınızda donanım anahtarı tabanlı 2FA kullanın. İstemcinizde uzak görsellerin otomatik indirilmesini engelleyin. Önemli hesap kurtarma işlemlerinde e-posta yerine çevrimdışı yedek kodları tercih edin. Kritik yazışmalar için uçtan uca şifreli e-posta servislerini (örneğin Proton Mail) kullanın. Bu doğrultuda bilinçli adımlar atarak dijital güvenliğinizi önemli ölçüde artırabilirsiniz. 🐢\nİlgili Rehberler Tehdit Modeli Nasıl Oluşturulur - Güvenlik risklerini analiz etme ve koruma stratejisi belirleme. WireGuard ile Self-Hosted VPN - Kendi sunucunuzda reklam engelleme özellikli güvenli VPN kurun. GrapheneOS Hakkında Nihai Rehber - Güvenlik ve gizlilik odaklı mobil işletim sistemi. ","permalink":"https://b4.lol/tr/email-security/","summary":"E-posta güvenliğinin nasıl işlediğini keşfedin: STARTTLS\u0026rsquo;ten PGP\u0026rsquo;ye, SPF ve DKIM\u0026rsquo;den DMARC\u0026rsquo;a. E-postanızı korumak için pratik tavsiyeler içeren eksiksiz bir rehber.","title":"E-posta Güvenliği: Şifreleme, SPF, DKIM ve DMARC"},{"content":" TL;DR - Bu kılavuzda öğrenecekleriniz:\nBir Apple Silicon Mac\u0026rsquo;i ilk açılışından itibaren güvenlik ve gizliliği en üst düzeye çıkaracak şekilde nasıl yapılandıracağınız Ağ trafiğinizi güvenlik duvarı, şifrelenmiş DNS, VPN ve Tor ile nasıl koruyacağınız Tarayıcınızı nasıl sıkılaştıracağınız, parolaları nasıl yöneteceğiniz ve verilerinizi FileVault ile GPG kullanarak nasıl şifreleyeceğiniz Sistemi nasıl izleyeceğiniz, meta verileri nasıl sileceğiniz ve kötü amaçlı yazılımlara ve izlemeye karşı kendinizi nasıl koruyacağınız Özet macOS\u0026rsquo;ta gizlilik ve güvenliği korumak için bir tehdit modeliyle başlamak, ardından FileVault\u0026rsquo;u, otomatik güncellemeleri, güvenlik duvarını, şifrelenmiş DNS\u0026rsquo;i, sertleştirilmiş bir tarayıcıyı, parola yöneticisini, şifrelenmiş yedeklemeleri ve yazılım kurulum kurallarını etkinleştirmek en doğrusudur. Kilitleme Modu veya VM ile yalıtım gibi daha aşırı önlemler ise sadece yüksek riskli profiller için gereklidir.\nMac\u0026rsquo;iniz kutudan çıktığı haliyle aşılamaz bir kale değildir. macOS sağlam bir işletim sistemidir, elbette, ama doğru yapılandırmalar olmadan düşündüğünüzden daha fazla açık kapı bırakır\u0026hellip; ve her açık kapı, işlerinize erişmek isteyen yetkisiz kişiler için bir davettir.\nBu kılavuz, Mac cihazlarının gizliliğini ve güvenliğini artırmak isteyen tüm kullanıcılar için hazırlanmıştır. Bu işlemleri gerçekleştirmek için bilgisayar mühendisi olmaya gerek yoktur; öğrenme isteği ve sabırlı bir yaklaşım yeterli olacaktır. Donanım seçiminden ileri düzey sistem izlemesine kadar adım adım ilerlenecektir.\nUYARI!! Bu kılavuz olduğu gibi sunulmaktadır, hiçbir türden garanti içermez. Sisteminizde yapacağınız değişikliklerden tamamen kendiniz sorumlusunuz. Dikkatli ilerleyin ve şüpheye düştüğünüzde her zaman önce bir yedek alın.\nTehdit Modellemesi: Nereden Başlamalı İlk ve en önemli adım bir tehdit modeli (threat model) oluşturmaktır. nasıl korunacağınızı belirlemek için kime karşı korunduğunuzun belirlenmesi gerekir. Her kişinin ihtiyaçları farklıdır, bu nedenle tehdit modelinin de kişisel gereksinimlere göre şekillendirilmesi önem taşır.\nKorumak İstediğiniz Varlıkları Belirleyin Korumak istediğiniz tüm verilerin bir listesini hazırlayınız (örneğin dizüstü bilgisayar, parolalar, tarayıcı geçmişi, finansal belgeler, kişisel fotoğraflar vb.). Bunları önem sırasına göre genel, hassas veya gizli şeklinde kategorize ediniz.\nDüşmanlarınızı Belirleyin Kimlere karşı koruma hedefliyorsunuz? (Örneğin fiziksel yakınlığı olan kişiler, hırsızlar, veri toplayan ticari şirketler veya devlet destekli aktörler). Olası düşmanların motivasyonu, saldırıların karmaşıklık düzeyini doğrudan etkiler.\nYeteneklerini Belirleyin Olası saldırganların yetenekleri nelerdir? Sıradan bir hırsız, güçlü bir ekran parolası ve disk şifrelemesiyle durdurulabilir. Devlet destekli sofistike aktörler ise cihaz kullanılmadığında RAM üzerindeki anahtarların silinmesi amacıyla cihazın tamamen kapatılması gibi gelişmiş önlemleri gerektirebilir.\nÖnlemleri Belirleyin Bu aşamada her bir tehdide karşı hangi adımların atılacağı belirlenmelidir. Güvenlik ile kullanım kolaylığı arasında denge kurmak oldukça önemlidir; zira gereksiz her önlem günlük kullanımı zorlaştıracaktır.\nİşte her varlık için oluşturmanız gereken örnek bir tablo:\nDüşman Motivasyon Yetenek Önlem Ev arkadaşı Sohbetleri veya geçmişi görmek Fiziksel yakınlık, ekrana göz atabilir Biyometri, gizlilik filtresi, otomatik kilitleme Hırsız Kişisel verileri çalmak ve hesapları boşaltmak Cihazı çalmak, parola yazarken izlemek Mac\u0026rsquo;i her zaman görüş alanında tutmak, FileVault, Find My Suçlu Ekonomik kazanç Sosyal mühendislik, kötü amaçlı yazılım, tekrar kullanılan parolalar Sandboxing, otomatik güncellemeler, benzersiz parolalar Şirket Kullanıcı verisi pazarlaması Telemetri ve davranışsal veri toplama Ağ bağlantılarını engellemek, tanımlayıcıları sıfırlamak Devlet/APT Hedefli gözetim İnternet altyapısının pasif gözetimi Açık kaynaklı E2EE, uzun diceware parolalar, güvenli öğeli donanım Donanım: Güvenli Bir Platform Seçimi macOS, Apple Silicon\u0026rsquo;a sahip Apple donanımında (M1, M2, M3, M4 ve sonrası) çalışırken daha güvenlidir. Intel işlemcili Mac\u0026rsquo;lerde Apple\u0026rsquo;ın yazılım güncellemeleriyle düzeltemediği donanım açıkları bulunur. İşlemci mimarisi ne kadar güncelse, sağlanan güvenlik seviyesi de o derece yüksek olacaktır.\nHackintosh\u0026rsquo;lardan ve macOS\u0026rsquo;un en son sürümünü desteklemeyen Mac\u0026rsquo;lerden kaçının: Apple eski sürümlerdeki her açığı düzeltmez.\nTehdit modelinize bağlı olarak, cihazı nakit ve fiziksel mağazadan satın almayı tercih edebilirsiniz. Böylece çevrim içi sipariş ve kart ödemesi gibi iz bırakabilecek yöntemlerden kaçınarak satın alma işlemine kimlik bilgisi bağlanmasını engellemiş olursunuz.\nKablosuz aksesuarlar (klavye, fare, kulaklık) için, Apple\u0026rsquo;ın kendi kablosuz aksesuarlarının tercih edilmesi önerilmektedir; zira bu ürünler sistem tarafından otomatik güncellenir ve Bluetooth donanım adresinin izlenmesini engelleyen BLE Privacy gibi güncel güvenlik protokollerini destekler.\nmacOS Kurulumu ve Etkinleştirilmesi Mac cihazınızla uyumlu olan en güncel macOS sürümü kurulmalıdır. Yeni sürümler, eski versiyonlarda bulunmayan kritik güvenlik yamalarını ve sistem iyileştirmelerini barındırmaktadır.\nSistem etkinleştirmesi Apple\u0026rsquo;ın hırsızlık önleme sisteminin bir parçası olarak, Apple Silicon macOS her yeniden yüklendiğinde, cihazın çalıntı veya uzaktan kilitlenmiş olmadığını doğrulamak amacıyla Apple sunucuları üzerinden etkinleştirme yapılması gerekmektedir.\nApple Hesabı macOS kullanımı için bir Apple Hesabı (Apple ID) oluşturulması zorunlu değildir. Apple Hesabı kullanıldığında varsayılan olarak birçok verinin iCloud ile senkronize edileceği unutulmamalıdır. Bu senkronizasyon ayarları sonradan kapatılabilir veya Gelişmiş Veri Koruma (Advanced Data Protection) özelliğiyle veriler uçtan uca şifrelenebilir.\nBir Apple Hesabı yalnızca App Store\u0026rsquo;a ve iCloud, Apple Music gibi Apple hizmetlerine erişmek için gereklidir.\nSanallaştırma Apple Silicon\u0026rsquo;da sanallaştırma, Apple\u0026rsquo;ın Virtualization framework\u0026rsquo;ü sayesinde macOS\u0026rsquo;a entegre edilmiştir. Şu araçları kullanarak macOS ve Windows 11 ARM çalıştırabilirsiniz:\nUTM - Web sitesinden ücretsiz. macOS ve Windows 11 ARM\u0026rsquo;ı destekler VirtualBuddy - Apple Silicon\u0026rsquo;da macOS 12+\u0026lsquo;ı sanallaştırmak için GUI. %100 ücretsiz. GitHub VMware Fusion - Broadcom altında şimdi ücretsiz. Temiz arayüz, Windows 11 ARM\u0026rsquo;ı destekler tart - Homebrew ile kurulabilen komut satırı VM kontrolü. tart.run Parallels (ücretli) - Güçlü entegrasyona sahip ticari bir seçenek. Web sitesi Güvenlik yapılandırmalarının öncelikle sanal bir makine (VM) üzerinde test edilmesi, ana sistemin kararlılığını riske atmamak adına tavsiye edilir.\nİlk Açılış ve Hesap Kurulumu İlk açılışta kurulum sihirbazı bir kullanıcı hesabı oluşturmanızı isteyecektir. Güçlü bir parola tercih ediniz ve parola ipucu (hint) eklemeyiniz; zira cihaza fiziksel erişimi olan herkes bu ipucunu görebilir.\nDikkat: girdiğiniz gerçek ad, bilgisayar adında ve yerel ağ hostname\u0026rsquo;inde görünecektir. Daha sonra değiştirmek için:\nsudo scutil --set ComputerName adiniz sudo scutil --set LocalHostName adiniz Standart Kullanıcı Hesabı Kullanımı Oluşturulan ilk hesap her zaman bir yönetici (admin) hesabıdır. Yönetici hesapları sudo erişimine sahiptir, bu da sistemde her şeyi değiştirebilecekleri anlamına gelir. Bu önemli bir güvenlik riskidir.\nGünlük kullanım için ayrı bir standart kullanıcı hesabı açılması ve yönetici yetkilerinin yalnızca sistem yapılandırma işlemlerinde kullanılması önerilen bir güvenlik yöntemidir.\nNasıl yapılandırılır Yönetici hesabına giriş yapın Sistem Ayarları \u0026gt; Kullanıcılar ve Gruplar üzerinden yeni bir yönetici hesabı oluşturun Çıkış yapın ve yeni yönetici hesabına giriş yapın Orijinal hesabınızı şu komutla standarda düşürün: sudo dscl . -delete /Groups/admin GroupMembership kullanici_adiniz Standart hesabın kısıtlamaları: /Applications içine uygulama kuramazsınız, sudo kullanamazsınız, bazı sistem yardımcı programları yönetici hesabını gerektirir. Büyük bir güvenlik kazanımı için küçük rahatsızlıklar.\nÖnyükleme Güvenliği ve FileVault Güvenli Önyükleme Temeli Firmware güvenliğinin varsayılan değer olan \u0026ldquo;Tam Güvenlik\u0026rdquo; (Full Security) olarak ayarlandığından emin olun. Bu, işletim sisteminin kurcalanmasını engeller.\nFileVault 2 (Tam Disk Şifreleme) Apple Silicon Mac\u0026rsquo;ler varsayılan olarak şifrelidir, ancak FileVault ek bir koruma katmanı sağlar: Cihazın her açılışında verilerin çözülmesi için parola girişi gerektirir. FileVault şifresi aynı zamanda ürün yazılımı (firmware) güvenliğine katkı sağlayarak harici disklerden sistem açılmasını ve Recovery moduna erişilmesini engeller.\nEtkinleştirmek için: Sistem Ayarları \u0026gt; Gizlilik ve Güvenlik \u0026gt; FileVault \u0026gt; Etkinleştir\n!UYARI! Kurtarma anahtarını güvenli bir yerde saklayın. iCloud üzerinden kilit açma seçeneği mevcuttur ancak iCloud\u0026rsquo;unuz ele geçirilirse risk oluşturur.\nKilitleme Modu Kilitleme Modu (Lockdown Mode), saldırı yüzeyini büyük ölçüde azaltmak için çok sayıda özelliği devre dışı bırakan güçlü bir macOS özelliğidir. Hedefli ve karmaşık siber saldırılara maruz kalma riski yüksek olan kullanıcılar (gazeteciler, aktivistler vb.) için tasarlanmış olsa da dileyen tüm kullanıcılar tarafından etkinleştirilebilir.\nSafari\u0026rsquo;de tek tek web siteleri için devre dışı bırakılabilir, böylece güvendiğiniz sitelerde işlevsellik kaybetmezsiniz.\nEtkinleştirmek için: Sistem Ayarları \u0026gt; Gizlilik ve Güvenlik \u0026gt; Kilitleme Modu\nGüvenlik Duvarı Sıkılaştırması Uygulama Düzeyinde Güvenlik Duvarı macOS, gelen bağlantıları engelleyen yerleşik bir güvenlik duvarı içerir. Etkinleştirmek önemlidir:\n# Güvenlik duvarını etkinleştir sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate on # Gizli modu etkinleştir (kapalı portlara gelen ping ve probe isteklerini görmezden gelir) sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setstealthmode on # İmzalı uygulamaların otomatik olarak izin verilmesini engelle sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setallowsigned off sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setallowsignedapp off Üçüncü Taraf Güvenlik Duvarları Giden bağlantıları da denetlemek (ve hangi uygulamaların arka planda veri gönderdiğini gözlemlemek) amacıyla üçüncü taraf bir giden trafik güvenlik duvarı kullanılması tavsiye edilir:\nLittle Snitch - En eksiksiz olanı, ücretli LuLu - Açık kaynaklı ve ücretsiz, Objective-See tarafından Radio Silence - Basit ve hafif Bu güvenlik duvarları root yetkisine sahip süreçler tarafından atlatılabilir, ancak yine de son derece değerli bir araç olmaya devam ederler. Bazı kötü amaçlı yazılımlar bu güvenlik duvarlarının varlığını tespit ettiğinde kendini imha eder.\nPaket Filtresi (pf) Yapılandırması Daha ayrıntılı kontrol için macOS, oldukça özelleştirilebilir bir çekirdek düzeyi güvenlik duvarı olan pf\u0026lsquo;yi (packet filter) içerir.\nİşte /etc/pf.rules için temel bir yapılandırma örneği:\n# Varsayılan arayüz wifi = \u0026#34;en0\u0026#34; # Varsayılan olarak tüm gelen trafiği engelle block in all # Giden trafiğe izin ver pass out quick on $wifi proto { tcp, udp } from any to any # Loopback trafiğine izin ver pass quick on lo0 # Tüm arayüzlerde gelen trafiği engelle block in quick on $wifi Kuralları etkinleştirmek için:\nsudo pfctl -e -f /etc/pf.rules Durumu kontrol etmek için: sudo pfctl -s info\nServisler, Daemon\u0026rsquo;lar ve Paket Yönetimi macOS, sistem servislerini yönetmek için launchd\u0026lsquo;yi kullanır. Etkin servisleri şu şekilde inceleyebilirsiniz:\n# Yüklenmiş tüm servisleri listele launchctl list # Belirli bir servisi incele launchctl list | grep -i apple Sistem servisleri System Integrity Protection (SIP) tarafından korunur - onları değiştirmek için SIP\u0026rsquo;yi devre dışı bırakmayın. Olduğu gibi bırakmak çok daha güvenlidir.\nBelirli bir servisin ne yaptığını incelemek için, .plist dosyasını şu konumlarda arayın:\n/System/Library/LaunchDaemons/ (sistem daemon\u0026rsquo;ları) /System/Library/LaunchAgents/ (sistem agent\u0026rsquo;ları) /Library/LaunchDaemons/ (üçüncü taraf daemon\u0026rsquo;ları) ~/Library/LaunchAgents/ (kullanıcı agent\u0026rsquo;ları) Paket Yöneticisi Güvenliği (Homebrew) Homebrew , macOS\u0026rsquo;ta en çok kullanılan paket yöneticisidir. Ancak bu aracın Uygulama Yönetimi (App Management) veya Tam Disk Erişimi (Full Disk Access) gibi geniş yetkiler talep ettiği ve bunun da yerleşik TCC (Şeffaflık, Onay ve Kontrol) güvenlik katmanını zayıflatabileceği unutulmamalıdır.\n# Düzenli olarak güncelle (güvenilir ağlarda!) brew upgrade # Homebrew telemetrisini devre dışı bırak export HOMEBREW_NO_ANALYTICS=1 Kalıcı hale getirmek için export HOMEBREW_NO_ANALYTICS=1 satırını ~/.zshrc dosyanıza ekleyin.\nDNS: Çözümlemenin Güvenliğini Sağlama DNS sorguları şifresiz iletildiğinde açık bir kartpostala benzer; ağ üzerindeki üçüncü şahıslar tarafından izlenebilir. Şimdi bu sorguların nasıl korunacağını inceleyelim.\nŞifrelenmiş DNS profilleri macOS 11\u0026rsquo;den itibaren, şifrelenmiş DNS (DoH/DoT) için yapılandırma profilleri kurabilirsiniz. Önerilen bazı sağlayıcılar:\nQuad9 - Kötü amaçlı alan adlarını engeller, kâr amacı gütmeyen AdGuard DNS - Reklamları ve takip araçlarını engeller NextDNS - Engelleme listeleriyle son derece özelleştirilebilir Hosts dosyası /etc/hosts dosyasına girdiler ekleyerek alan adlarını engelleyebilirsiniz:\n# Bir alan adını engelle echo \u0026#34;0.0.0.0 facebook.com\u0026#34; | sudo tee -a /etc/hosts # Değişiklikleri uygula sudo dscacheutil -flushcache Reklamları, kötü amaçlı yazılımları ve takip araçlarını engelleyen StevenBlack\u0026rsquo;in listesi gibi, topluluk tarafından sürdürülen ve indirip entegre edebileceğiniz engelleme listeleri mevcuttur.\nDNSCrypt DNSCrypt, DNS trafiğini şifreleyerek dinlemeyi ve kurcalamayı engeller:\nbrew install dnscrypt-proxy Eğer dnsmasq ile birlikte kullanıyorsanız, 53 dışında bir portu dinlemesini yapılandırın. Şifrelenmemiş tüm DNS trafiğini engellemek için pf kurallarını da kullanabilirsiniz.\nDnsmasq Dnsmasq, yerel bir DNS önbelleği olarak çalışır ve eksiksiz bir çözüm için DNSCrypt ile birleştirilebilir:\nbrew install dnsmasq # Yerel DNS olarak yapılandır sudo networksetup -setdnsservers \u0026#34;Wi-Fi\u0026#34; 127.0.0.1 DNS kaynağının kimlik doğrulaması ve veri bütünlüğü için DNSSEC\u0026lsquo;i destekler.\nSertifika Güveni ve Tarayıcı Sıkılaştırma Sertifika Yetkilileri (CA) macOS, dünyanın dört bir yanındaki şirket ve devletlere ait 100\u0026rsquo;den fazla kök CA sertifikası ile birlikte gelir. Bu, çok sayıda kuruluşun teknik olarak herhangi bir alan adı için geçerli sertifikalar verebileceği anlamına gelir.\nApple, güvenilmeyen CA\u0026rsquo;ları engeller ve sıkı gereksinimlere sahiptir, ancak sahte sertifikalar üzerinden MITM saldırıları (Man-in-the-Middle, yani sizinle site arasına \u0026ldquo;girip\u0026rdquo; araya giren bir saldırgan) riski düşük olsa da mevcuttur (DigiNotar vakasını hatırlıyor musunuz?).\nBir CA\u0026rsquo;dan güveni manuel olarak kaldırmak için: Anahtar Zinciri Erişimi\u0026rsquo;ni (Keychain Access) açın, kök sertifikayı bulun, üzerine çift tıklayın ve \u0026ldquo;Asla Güvenme\u0026rdquo; (Never Trust) olarak ayarlayın.\nTarayıcı Seçimi ve Sıkılaştırma Tarayıcı, işletim sisteminizin en geniş saldırı yüzeyidir. Tarayıcı seçimi özenle yapılmalı ve eklentiler yalnızca zorunlu ihtiyaçlarla sınırlandırılmalıdır.\nFirefox Yaygın kullanılan tarayıcılar arasında gizlilik standartları en yüksek olan seçenek Firefox\u0026rsquo;tur:\nBellek güvenliği için Rust kullanımının artmasıyla birlikte açık kaynak Yerleşik izleme koruması Parmak izi rastgeleleştirmesi (fingerprint randomization) Oturumları yalıtmak için Multi-Account Containers Gelişmiş sertleştirme için arkenfox/user.js desteği JavaScript\u0026rsquo;i seçici olarak engellemek için NoScript uzantısı Chrome Google\u0026rsquo;ın tescilli bileşenleriyle Chromium tabanlı:\nSağlam sandboxing ve sık güncellemeler Güvenlik araştırmacılarını çeken kazançlı bir bug bounty programı Saldırı yüzeyini azaltmak için deneysel JavaScript özelliklerini devre dışı bırakın: chrome://flags/#disable-javascript-harmony-shipping uBlock Origin Lite\u0026lsquo;ı (Manifest V3 sürümü) kullanın chrome://settings/privacy içinde DNS prefetching\u0026rsquo;i devre dışı bırakın Dezavantajları: Google tarafından geliştirilmiş olması nedeniyle veri toplama odaklı bir altyapıya sahiptir. Gizlilik hassasiyetiniz varsa Firefox veya Safari daha doğru tercihler olacaktır.\nSafari macOS\u0026rsquo;un WebKit tabanlı yerel tarayıcısı:\nTüm tarayıcılar arasında en iyi pil ömrü Yerleşik Content Blockers ve Intelligent Tracking Prevention Parmak izi rastgeleleştirmesi ve yalıtılmış Gizli Sekmeler Kilitleme Modu desteği iCloud Anahtar Zinciri üzerinden güvenli senkronizasyon Eksileri: mevcut uzantı sayısı daha az (geliştirici lisansı yıllık 100$), bu nedenle ekosistem daha sınırlı.\nTarayıcı gizliliği Hangi tarayıcı tercih edilirse edilsin, şu hususlar göz önünde bulundurulmalıdır:\nNavigator API, sisteminiz hakkında bilgi açığa çıkarır Canvas fingerprinting, sizi tek başına benzersiz şekilde tanımlayabilir Üçüncü taraf çerezlerini devre dışı bırakın (artık çoğu tarayıcıda varsayılan) WebRTC, gerçek IP adresinizi açığa çıkarabilir - uzantılar veya Kilitleme Modu aracılığıyla devre dışı bırakın Anonimlik ve Aktarım Güvenliği (Tor ve VPN) Tor Tarayıcı Tor Browser , trafiğinizi Tor ağı üzerinden yönlendiren ve verileri ardışık katmanlarda şifreleyen (bir soğanın katmanları gibi) değiştirilmiş bir Firefox\u0026rsquo;tur.\nKurulum ve Doğrulama Tor Browser\u0026rsquo;ı indirdikten sonra, indirmenin GPG imzasını doğrulamak çok önemlidir:\n# Önce resmi web sitesindeki fingerprint ve güncel talimatları kontrol ederek Tor Project\u0026#39;in imza anahtarını içe aktarın gpg --keyserver hkps://keys.openpgp.org --recv-keys TOR_PROJECT_TARAFINDAN_YAYINLANAN_ANAHTAR_ID # İmzayı doğrula gpg --verify TorBrowser-*.asc TorBrowser-*.dmg Uygulamanın kod imzasını da doğrulayın:\nspctl --assess --verbose /Applications/Tor\\ Browser.app codesign -dvv /Applications/Tor\\ Browser.app Tor Hakkında Bilinmesi Gerekenler Tor, trafiği çıkış düğümüne kadar şifreler, ancak Tor kullanımı TLS hostname\u0026rsquo;leri üzerinden tespit edilebilir Pluggable transports, Tor trafiğini normal trafik gibi gizleyerek maskeleyebilir Ekstra güvenlik için Tor\u0026rsquo;u bir VM içinde kullanın Tor, anonimliği (kimliğinizi) korur ancak gizliliğinizi (yaptığınız işlemleri) doğrudan korumaz. Örneğin Tor üzerinden kişisel bir hesaba giriş yapıldığında anonimlik ortadan kalkar. Tor, ağın büyük bölümlerini kontrol eden düşmanların yapacağı küresel trafik analizine karşı zayıftır Uyarı: anonimlik ve gizliliği birbirine karıştırmayın. Tor sizi anonim yapar, ancak bir sitede kişisel bilgilerinizi girerseniz, bu anonimlik ortadan kalkar.\nVPN Servisleri Bir VPN, sizinle VPN sunucusu arasındaki trafiği şifreler. Bazı temel noktalar:\nPPTP\u0026rsquo;den kaçının - eski ve güvensizdir WireGuard veya OpenVPN\u0026lsquo;i tercih edin VPN bağlantısı kesildiğinde trafik sızıntısına dikkat edin - bir kill switch (acil durum anahtarı) yapılandırın VPN sağlayıcısının yargı bölgesini (jurisdiction) göz önünde bulundurun Maksimum kontrol sağlamak için kişisel bir sanal sunucu (VPS) üzerinde WireGuard ve Pi-hole servislerinin kurulması önerilir.\nİşte tüm trafiği VPN üzerinden zorlamak için örnek pf kuralları:\n# VPN dışında her şeyi engelle block all pass on lo0 pass out on utun0 # VPN arayüzü pass out on en0 proto udp to VPN_SUNUCU_IP port 51820 # WireGuard portu Kriptografik Araçlar ve Dosya Güvenliği PGP/GPG Dosya Şifreleme PGP (Pretty Good Privacy), e-posta ve dosyaların uçtan uca şifrelenmesi için standarttır. GPG (GNU Privacy Guard) ise açık kaynaklı uygulamasıdır.\n# GPG\u0026#39;yi kur brew install gnupg # Bir anahtar çifti oluştur gpg --full-generate-key # Açık anahtarı dışa aktar gpg --armor --export eposta_adresiniz@ornek.com En üst düzey güvenlik için özel anahtarların bir donanım anahtarında (örneğin YubiKey) saklanması önerilir; bu sayede anahtarlar fiziksel cihazın dışına sızdırılamaz.\ngpg.conf dosyası için drduh\u0026rsquo;un önerilen yapılandırmasını kullanmanızı şiddetle öneririm.\nGüvenli Mesajlaşma İstemcileri XMPP Açık, federe ve çoklu platform destekleyen bir protokol. Varsayılan olarak uçtan uca şifreli değildir: şifreleme için OMEMO uzantısını kullanın.\nSignal Anlık mesajlaşma alanında gelişmiş uçtan uca şifreleme sunan Double Ratchet protokolünü kullanmaktadır. Kayıt için telefon numarası gerektirir.\niMessage Bir Apple Hesabı gerektirir. Kullanıyorsanız, kişilerinizin kimliğini doğrulamak için Contact Key Verification\u0026lsquo;ı (Kişi Anahtarı Doğrulaması) etkinleştirin.\n!UYARI! Gelişmiş Veri Koruma (Advanced Data Protection) etkinleştirilmeden iCloud yedeklemesi yapıldığında şifreleme anahtarları Apple sunucularında saklanır. Güvenlik için bu özelliğin açılması önerilir.\nKötü Amaçlı Yazılımlardan Korunma Mac cihazları zararlı yazılımlardan tamamen muaf değildir. Şimdi bu tehditlere karşı nasıl önlem alınacağını inceleyelim.\nYazılımı güvenli şekilde indirmek App Store\u0026lsquo;u veya Apple tarafından Notarize edilmiş (notarized) uygulamaları tercih edin Her zaman HTTPS üzerinden resmi sitelerden indirin Aşırı izin isteyen uygulamalardan kaçının Mümkün olduğunda açık kaynaklı yazılımları tercih edin Uygulama Yalıtımı ve Noter Onayı (App Sandboxing \u0026amp; Notarization) Bir uygulamanın sandboxing kullanıp kullanmadığını kontrol edin:\ncodesign --entitlements - /Applications/UygulamaAdi.app App Store\u0026rsquo;daki tüm uygulamalar sandbox kullanmak zorundadır. Etkinlik İzleyicisi\u0026rsquo;ndeki (Activity Monitor) \u0026ldquo;Sandbox\u0026rdquo; sütununu da kontrol edebilirsiniz.\nHardened Runtime Bir uygulamanın Hardened Runtime kullanıp kullanmadığını kontrol edin:\ncodesign --display --verbose /Applications/UygulamaAdi.app Çıktıda flags=0x10000(runtime) ifadesini arayın. Notarize edilmiş uygulamalar bunu kullanmak zorundadır.\nYerel Tespit (Objective-See Araçları) Şüpheli dosyaları çalıştırmadan önce taramak için VirusTotal \u0026lsquo;ı kullanın macOS, arka planda otomatik olarak güncellenen XProtect\u0026lsquo;i içerir BlockBlock , kalıcı kötü amaçlı yazılım bileşenlerini tespit eder Yerel bir antivirüs yazılımı kullanmak ek bir saldırı yüzeyi oluşturabilir ve veri toplama eğilimleri barındırabilir. Gatekeeper Gatekeeper, notarize edilmemiş uygulamaları engeller. Ayarlarda Gizlilik ve Güvenlik üzerinden bir uygulamaya manuel olarak izin verebilirsiniz, ancak bunu yalnızca tamamen güvendiğiniz uygulamalar için yapın.\nGatekeeper\u0026rsquo;ın yalnızca .app paketlerini koruduğunu, tüm çalıştırılabilir dosyaları korumadığını unutmayın.\nSystem Integrity Protection (SIP) SIP, sistem dosyalarını root kullanıcısı dahil değişikliklerden korur. Etkin olduğunu kontrol edin:\ncsrutil status Devre dışı olarak görünüyorsa, Recovery modundan yeniden etkinleştirin. Tam olarak ne yaptığınızı ve nedenini bilmediğiniz sürece SIP\u0026rsquo;yi asla devre dışı bırakmayın.\nMeta Verileri ve Dijital İzleri Temizleme macOS, şaşırtıcı miktarda meta veri saklar. İşte en önemlileri ve nasıl silineceği.\nİndirme meta verileri APFS, bir dosyayı nereden indirdiğinizi açığa çıkaran genişletilmiş öznitelikleri kaydeder:\n# İndirilen bir dosyanın meta verilerini görüntüle xattr -l ~/Downloads/indirilen_dosya # Kaynak meta verisini kaldır xattr -d com.apple.metadata:kMDItemWhereFroms ~/Downloads/indirilen_dosya xattr -d com.apple.quarantine ~/Downloads/indirilen_dosya Bluetooth geçmişi Bağlanılan Bluetooth cihazlarının geçmişi com.apple.Bluetooth.plist içinde saklanır.\nQuickLook önbelleği QuickLook, önbellekte saklanan dosya önizlemeleri oluşturur. Temizlemek için:\nqlmanage -r cache NVRAM\u0026rsquo;deki Wi-Fi kimlik bilgileri Wi-Fi kimlik bilgileri NVRAM\u0026rsquo;de saklanabilir. Silmek için:\nsudo nvram -d 36C28AB5-6566-4C50-9EBD-CBB920F83843:current-network Klavye ve yazım verileri macOS, yazım verilerinizi şu dizinlerde saklar:\n~/Library/LanguageModeling/ ~/Library/Spelling/ ~/Library/Suggestions/ Bu dizinleri silebilir ve yeniden oluşturulmalarını önlemek için kilitleyebilirsiniz:\nrm -rf ~/Library/LanguageModeling ~/Library/Spelling ~/Library/Suggestions mkdir ~/Library/LanguageModeling ~/Library/Spelling ~/Library/Suggestions chmod -R 000 ~/Library/LanguageModeling ~/Library/Spelling ~/Library/Suggestions Siri Analytics Siri devre dışı bırakılmış olsa bile SiriAnalytics.db oluşturulur. Silinebilir ama yeniden oluşturulur.\nKaydedilmiş uygulama durumu macOS, yeniden başlatma sonrasında geri yüklemek için uygulama durumunu kaydeder:\nrm -rf ~/Library/Saved\\ Application\\ State/* chmod -R 000 ~/Library/Saved\\ Application\\ State Parolalar ve Çok Faktörlü Kimlik Doğrulama (MFA) Parola yönetimi macOS\u0026rsquo;a yerleşik Parolalar uygulaması güvenli kimlik bilgileri üretir ve passkey\u0026rsquo;leri (FIDO) destekler. Akılda kalıcı parolalar için diceware yöntemini (sözlükten rastgele kelimeler) kullanın.\nDaha teknik kullanıcılar için GnuPG, şifrelenmiş parola dosyalarını yönetebilir.\nÇok faktörlü kimlik doğrulama (MFA) Tüm hesaplarınızda MFA\u0026rsquo;yı etkinleştirmek çok önemlidir. Güvenlik sırasına göre:\nWebAuthn/FIDO2 (YubiKey gibi donanım anahtarı) - en güvenlisi TOTP (Aegis, 2FAS gibi uygulamalar) - çok iyi HOTP - iyi SMS - hiç yoktan iyi, ancak SIM swapping\u0026rsquo;e (SIM kart klonlamaya) karşı zayıf WebAuthn için ve donanım GPG/SSH anahtarı olarak bir YubiKey kullanmanızı şiddetle öneririm.\nYedekleme Stratejisi ve Yerel Ağ Güvenliği Yedeklemelerinizi kaydetmeden önce her zaman şifreleyin. 3-2-1 kuralını izleyin: 3 kopya, 2 farklı ortam türü, 1 dış konumda kopya.\nŞifrelenmiş Yedeklemeler (Time Machine) Time Machine\u0026rsquo;i şifrelenmiş bir harici diskle kullanın:\nSistem Ayarları \u0026gt; Genel \u0026gt; Time Machine \u0026gt; Yedekleme Diski Ekle (\u0026ldquo;Yedeklemeyi şifrele\u0026rdquo; seçeneğini seçin)\nManuel Arşiv Şifreleme (GPG) # Şifrelenmiş bir arşiv oluştur tar czf - ~/Documents | gpg --encrypt --recipient eposta_adresiniz \u0026gt; backup_docs.tar.gz.gpg # Yedeklemenin şifresini çöz gpg --decrypt backup_docs.tar.gz.gpg | tar xzf - Şifrelenmiş disk imajları hdiutil create -size 500m -encryption AES-256 -volname \u0026#34;Guvenli Yedek\u0026#34; -fs APFS ~/guvenli_yedek.dmg Diğer seçenekler: şifrelenmiş artımlı yedeklemeler için restic , E2EE bulut depolama için Tresorit .\nYerel Wi-Fi Yapılandırması Gizli ağlardan kaçının: cihazınız ağ adını içeren probe\u0026rsquo;lar göndermek zorundadır, bu da bağlandığınız ağların geçmişini açığa çıkarabilir Ev ağınızı WPA3 olarak ayarlayın Her ağ için rastgele MAC adresini etkinleştirin: Wi-Fi Ayarları \u0026gt; Ağ Detayları \u0026gt; Özel Wi-Fi Adresi SSH Bağlantılarını Sıkılaştırma Giden Bağlantılar Parola ile korunan (ya da daha iyisi, bir YubiKey üzerinde saklanan) SSH anahtarları kullanın. ~/.ssh/config dosyasında:\nHost * HashKnownHosts yes IdentitiesOnly yes VPN Alternatifi Olarak SSH Tüneli SSH, hafif bir VPN gibi çalışabilir:\n# Yerel port yönlendirme ssh -L 8080:dahili_site:80 kullanici@sunucu # SOCKS proxy ssh -D 1080 kullanici@sunucu Ardından tarayıcınızı SOCKS proxy olarak localhost:1080\u0026lsquo;i kullanacak şekilde yapılandırın.\nSSH Sunucusu (sshd) macOS\u0026rsquo;ta sshd varsayılan olarak devre dışıdır (Uzaktan Oturum Açma). Etkinleştirmeniz gerekiyorsa:\nParola ile kimlik doğrulamayı devre dışı bırakın Yalnızca SSH anahtarları kullanın fail2ban veya benzeri bir araç yapılandırın Fiziksel Güvenlik Önlemleri Mac\u0026rsquo;inizi asla gözetimsiz bırakmayın - donanım keylogger\u0026rsquo;lar mevcuttur (yerleşik klavye veya Bluetooth kullanarak azaltılabilir) BusKill ve swiftGuard gibi anti-forensik araçlar, yetkisiz USB olayları veya fiziksel ayrılma tespit ettiklerinde sistemi otomatik olarak kapatabilir Halka açık yerlerde çalışırken ekranınızda bir gizlilik filtresi kullanın Fiziksel erişimi tespit etmek için kasa vidalarında oje veya kurcalamaya karşı koruyan mühürler kullanmayı düşünün Sistem İzleme OpenBSM Audit macOS, süreç yürütmeyi ve ağ etkinliğini izlemek için OpenBSM içerir. Not: Apple, macOS 11 (Big Sur) itibarıyla OpenBSM\u0026rsquo;i Endpoint Security framework\u0026rsquo;ü yararına kullanımdan kaldırmıştır (deprecated). macOS\u0026rsquo;un son sürümlerinde tam olarak çalışmayabilir; Objective-See \u0026rsquo;ninkiler gibi Endpoint Security tabanlı araçları değerlendirin.\n# Audit günlüklerini gerçek zamanlı takip et sudo praudit -l /dev/auditpipe Dikkat: yapılandırma değişiklikleri yeniden başlatma gerektirir.\nSüreç yürütme # Tüm süreçleri listele ps -ef # Yüklenmiş tüm servisleri listele launchctl list Grafiksel bir görünüm için Etkinlik İzleyicisi\u0026rsquo;ni (Activity Monitor) kullanın.\nAğ # Tüm etkin ağ bağlantılarını görüntüle lsof -Pni # Dinlemedeki portları listele netstat -atln DNS sorgularını, HTTP isteklerini ve TLS sertifikalarını izlemek için derinlemesine trafik analizi yapmak amacıyla Wireshark veya tshark kullanın.\nKurulum Sonrası Sertleştirme Ayarları Mac\u0026rsquo;inizi güçlendirmek için ek yapılandırmalardan oluşan bir derleme:\n# Apple\u0026#39;a tanılama raporlarını devre dışı bırak sudo defaults write /Library/Application\\ Support/CrashReporter/DiagnosticMessagesHistory.plist AutoSubmit -bool false # Ekran koruyucu ile ekranı anında kilitle defaults write com.apple.screensaver askForPassword -int 1 defaults write com.apple.screensaver askForPasswordDelay -int 0 # Finder\u0026#39;da gizli dosyaları göster defaults write com.apple.finder AppleShowAllFiles -bool true # Tüm dosya uzantılarını göster defaults write NSGlobalDomain AppleShowAllExtensions -bool true # Varsayılan olarak iCloud\u0026#39;a kaydetme defaults write NSGlobalDomain NSDocumentSaveNewDocumentsToCloud -bool false # Terminal\u0026#39;de güvenli klavye girişini etkinleştir defaults write com.apple.terminal SecureKeyboardEntry -bool true # Çökme bildirimi iletişim kutusunu devre dışı bırak defaults write com.apple.CrashReporter DialogType -string \u0026#34;none\u0026#34; # Bonjour multicast duyurularını devre dışı bırak sudo defaults write /Library/Preferences/com.apple.mDNSResponder.plist NoMulticastAdvertisements -bool true # umask değerini 077 olarak ayarla (dosyalar yalnızca sahibi tarafından erişilebilir) sudo launchctl config user umask 077 Şunları da hatırlayın:\nMedya için QuickTime Player\u0026lsquo;ı kullanın (sandboxlanmıştır ve Hardened Runtime kullanır) Kullanmıyorsanız Handoff ve Bluetooth\u0026lsquo;u devre dışı bırakın Diğer uygulamaların tuş vuruşlarınızı yakalamasını önlemek için Terminal\u0026rsquo;de Secure Keyboard Entry\u0026lsquo;yi etkinleştirin Önerilen Güvenlik Yazılımları Lynis - Çoklu platform güvenlik denetimi osquery - Sisteminizi SQL sorgularıyla sorgulayın Pareto Security - Temel güvenlik kontrolleri için menü çubuğu uygulaması Tebrikler, sertleştirme işlemlerini başarıyla tamamladınız! Bu adımların ardından Mac cihazınızı standart bir yapılandırmadan güvenli bir dijital kaleye dönüştürmüş bulunmaktasınız.\nOkuduğunuz için teşekkür ederiz. Bu rehberin yararlı olduğunu düşünüyorsanız, kendi cihazlarını korumak isteyen diğer kullanıcılarla da paylaşabilirsiniz.\nİlgili Rehberler Tehdit Modeli Kılavuzu - Daha bilinçli güvenlik kararları almak için tehdit modeli kavramını daha derinlemesine inceleyin WireGuard ve Pi-hole ile Kendi Barındırılan VPN - Ağınız üzerinde maksimum kontrol için kendi kişisel VPN\u0026rsquo;inizi barındırın E-posta Güvenliği Kılavuzu - E-posta iletişimlerinizi DMARC, SPF ve şifreleme ile koruyun Android\u0026rsquo;i Google Servislerinden Arındırma: Eksiksiz Gizlilik Kılavuzu - Aynı gizlilik ilkelerini Android telefonunuza da uygulayın ","permalink":"https://b4.lol/tr/macos-security/","summary":"Mac\u0026rsquo;inizi sıkılaştırmak için detaylı kılavuz: ilk kurulumdan güvenlik duvarına, DNS\u0026rsquo;e, tarayıcıya, Tor\u0026rsquo;a, VPN\u0026rsquo;e, şifrelemeye ve sistem izlemeye kadar.","title":"macOS Güvenlik ve Gizlilik için Eksiksiz Kılavuz"},{"content":" Özet - Bu rehberde öğrenecekleriniz:\n\u0026ldquo;Büyük Teknoloji\u0026rdquo; etiketinin ötesine geçerek bir tehdidi doğru şekilde tanımlamak. Dört temel tehdit vektörü: hizmet sağlayıcılar, kitlesel gözetim, uygulama geliştiriciler ve kötü niyetli aktörler. Uçtan uca şifreleme, kimlik ayrımı ve bölümlendirme kullanarak savunma oluşturmak. Tehdit modelinizi oluştururken kaçınılması gereken yaygın hatalar ve kötü uygulamalar. Özet Tehdit modeli; neyi, kimden korumak istediğinizi, saldırganların hangi yeteneklere sahip olduğunu ve bu tehditlere karşı hangi gerçekçi önlemleri alacağınızı belirlediğiniz bir süreçtir. Doğru bir tehdit modeli olmadan, işe yaramaz araçlar satın alma, asıl riskleri göz ardı etme veya güvenliği gerçekten artırmadan dijital yaşamınızı gereksiz yere zorlaştırma riskiyle karşı karşıya kalırsınız.\nKime karşı korunduğunuzu bilmeden bir VPN kurmak veya Signal kullanmaya başlamak tek başına yeterli değildir. Birçok yeni başlayan kullanıcı, kendi tehdit modelini belirlemeden gizlilik araçlarına zaman ve bütçe harcamakta, sonuçta da yanlış risklere karşı önlem almaktadır. Tehdit modeli oluşturmak, dijital gizlilik yolculuğunun en temel ilk adımıdır; gerçek zayıf noktalarınızı fark etmenizi ve en doğru karşı tedbirleri seçmenizi sağlar.\nBir bireyin gizliliğini ve güvenliğini korumak için atması gereken ilk adım, kendi Tehdit Modelini oluşturmaktır.\nBir Tehdidin Tanımı Tehdit modeli oluşturmak için öncelikle bir tehdidin ne olduğunu tanımlamamız gerekir. Gizlilik dünyasına yeni adım atanların yaptığı en yaygın hata, doğrudan \u0026ldquo;büyük teknoloji şirketlerini\u0026rdquo; birincil tehdit olarak görmektir. Oysa bu yaklaşım yapısal bir mantık hatası barındırır:\n\u0026ldquo;Büyük teknoloji şirketlerine\u0026rdquo; güvenmiyoruz diye güvenimizi \u0026ldquo;küçük teknoloji şirketlerine\u0026rdquo; mi kaydıracağız? Peki ya bu \u0026ldquo;küçük teknoloji şirketleri\u0026rdquo; de kötü niyetli çıkarsa veya gelecekte devasa boyutlara ulaşırsa ne olacak?\nBurada tehdidi tanımlamanın doğru yolu, \u0026ldquo;büyük teknoloji şirketleri\u0026rdquo; gibi özel marka isimleri yerine genel olarak **\u0026ldquo;servis sağlayıcıları\u0026rdquo;**dır.\nGenel olarak, bir bireyin kendisini korumak isteyebileceği dört temel tehdit kategorisi mevcuttur:\nKullanıcı verilerini izleyen/gözetleyen servis sağlayıcıları Siteler ve servisler arası takip ile veri paylaşımı (toplu gözetim) Kullanıcıları kötü amaçlı yazılımlar aracılığıyla izleyen uygulama geliştiricileri Cihazlara veya hesaplara yetkisiz erişim sağlamaya çalışan saldırganlar Bilinçli bir kullanıcı, tehdit modeline bu tehditlerin birkaçını dahil eder ve kendi önceliklerine göre bazılarına daha fazla ağırlık verir.\nÖrneğin, bir yazılım geliştiricisi öncelikle kaynak kodlarının, imzalama anahtarlarının ve API sırlarının çalınmasından endişe duyabilir; bunun yanı sıra internette gezinirken gizlilik de talep edecektir. Sıradan bir kullanıcı ise öncelikle toplu gözetim ve servis sağlayıcıların veri toplaması konusunda kaygılanabilir, fakat aynı zamanda cihaz güvenliğini de üst seviyede tutmak isteyecektir.\nMuhbirler (whistleblowers) veya yüksek riskli profiller için tehdit modeli çok daha katıdır. Bu kişilerin yalnızca verilerini korumaları ve siber saldırılardan kaçınmaları yetmez, aynı zamanda internet üzerindeki tüm kimliklerini gizli tutmaları, yani tam bir anonimlik sağlamaları gerekir.\nServis Sağlayıcılardan Gizlilik Çoğu durumda; özel mesajlarımız, e-postalarımız ve sosyal etkileşimlerimiz bir servis sağlayıcının sunucularında barındırılır. Buradaki temel risk, servis sağlayıcının (veya sunucuyu ele geçiren bir saldırganın) bilginiz dışında bu verilere kolayca erişebilmesidir. Bu durum SMS, Telegram, Discord gibi pek çok yaygın platform için geçerlidir.\nUçtan uca şifreleme (E2EE) kullanarak, iletişimlerinizi sunucuya gönderilmeden önce kendi cihazınızda şifreleyebilir ve bu riski en aza indirebilirsiniz. Servis sağlayıcı özel anahtarlarınıza erişemediği sürece mesajlarınızın gizliliği korunur.\nPratikte, farklı uçtan uca şifreleme uygulamalarının güvenlik seviyeleri değişiklik gösterir. Signal gibi yerel çalışan uygulamalar, tüm cihazlarda aynı kod tabanını kullanır. Eğer servis sağlayıcı anahtarlarınızı çalmak amacıyla uygulamaya bir arka kapı (backdoor) eklemeye çalışırsa, bu durum tersine mühendislik çalışmalarıyla tespit edilebilir.\nBuna karşın, Proton Mail web arayüzü veya Bitwarden web kasası gibi tarayıcı tabanlı uçtan uca şifreleme çözümleri, kriptografik işlemleri yönetmek için sunucudan gelen dinamik JavaScript kodlarına güvenir. Kötü niyetli bir sunucu, hedef aldığı belirli bir kullanıcıya anahtarlarını sızdıracak şekilde modifiye edilmiş JavaScript kodları gönderebilir ve kullanıcının bunu fark etmesi son derece zordur.\nBu nedenle, uçtan uca şifreli servisleri kullanırken, mümkün mertebe web istemcileri yerine yerel (masaüstü/mobil) uygulamaları tercih etmelisiniz.\nUçtan uca şifreleme kullanılsa dahi, servis sağlayıcılar korunmayan üst veriler (metadata) aracılığıyla hakkınızda profil oluşturabilir. Mesajlarınızın içeriğini okuyamasalar da kiminle iletişim kurduğunuzu, mesajlaşma sıklığınızı ve aktif olduğunuz saatleri analiz edebilirler. Üst verilerin korunması teknik olarak zordur; bu konuda endişeleriniz varsa kullandığınız yazılımın teknik belgelerini inceleyerek metadata azaltma özellikleri sunup sunmadığını kontrol etmelisiniz.\nSiteler ve Servisler Arası Takipten Korunma İnternette gezinirken şu tanımlayıcılar aracılığıyla sürekli olarak takip edilirsiniz:\nIP adresiniz Tarayıcı çerezleri Tarayıcı parmak iziniz (fingerprint) Web sitelerine gönderdiğiniz form verileri Kişisel ödeme yöntemleriniz Bu takibi zorlaştırmak için hedefleriniz şunlar olmalıdır:\nÇevrimiçi kimliklerinizi birbirinden ayırmak (bölmeleme) İnternet trafiğinde genel kullanıcı kalabalığına karışmak Mümkün olduğunca kimliği belirleyici bilgi vermekten kaçınmak Gizlilik sözleşmelerinin (çoğu zaman ihlal edilen) vaatlerine güvenmek yerine, sağlayıcıların verilerinizi ilişkilendirip profil oluşturmasını zorlaştıracak teknik önlemler almalısınız. Bu önlemler şunları içerebilir:\nBulut servislerine veri yüklemeden önce Cryptomator gibi şifreleme araçları kullanmak Gerçek kredi/banka kartı bilgilerinizi gizlemek için tek kullanımlık sanal kartlar veya gizlilik odaklı kripto paralar kullanmak IP adresinizi maskelemek için güvenilir bir VPN veya Tor ağı kullanmak Bir gizlilik sözleşmesi, tüm teknik gizlilik önlemlerini tükettiğinizde ve servis sağlayıcınıza tamamen güvenmek zorunda kaldığınızda başvuracağınız son çare olmalıdır.\nŞirketlerin gerçek sahiplik yapılarını gizleyebileceğini veya doğrudan reklamcılık yapmasalar bile bilgilerinizi veri simsarlarıyla (data broker) paylaşabileceğini unutmayın. Bu nedenle, tehdit modelinizde yalnızca \u0026ldquo;reklam teknolojisi\u0026rdquo; sektörüne odaklanmak yetersizdir. Kendinizi tüm servis sağlayıcılardan koruyacak genel bir strateji benimsemeniz daha mantıklıdır; böylece kurumsal gözetim tehditlerini de en başından bertaraf etmiş olursunuz.\nKamuya Açık Bilgileri Sınırlandırma Verilerinizin gizliliğini sağlamanın en kesin yolu, onları paylaşmamaktır. İnternet üzerinde açıkta bulunan kişisel bilgilerinizi temizletmek, dijital gizliliğinizi geri kazanmak için atabileceğiniz en önemli adımdır.\nBilgi paylaştığınız platformlarda, verilerinizin yayılmasını sınırlamak için hesaplarınızın gizlilik ayarlarını yapılandırmanız son derece önemlidir. Örneğin, kullandığınız servisler bir \u0026ldquo;gizli profil\u0026rdquo; seçeneği sunuyorsa, profilinizin arama motorları tarafından dizine eklenmesini önlemek ve üçüncü şahıslar tarafından görüntülenmesini engellemek için bu seçeneği etkinleştirin.\nVerilerinizin bulunmaması gereken çeşitli platformlara geçmişte gerçek bilgilerinizi verdiyseniz, mevcut gerçek bilgilerinizi sahte olanlarla karıştırmak ve ayırt edilemez hale getirmek amacıyla yanlış bilgilendirme (obfuscation) yöntemlerine başvurabilirsiniz.\nKötü Amaçlı Yazılım ve Saldırganlardan Korunma Güvenlik, gizliliği sağlamak için temeldir. Özel görünen araçları kullanmak, bunlar saldırganlar tarafından kolayca istismar edilebiliyorsa anlamsızdır.\nUygulama güvenliği söz konusu olduğunda, kullandığımız yazılımın gelecekte kötü niyetli hale gelip gelmeyeceğini kesin olarak bilmemiz mümkün değildir. En güvenilir geliştiricilerin yazılımları bile istismar edilebilecek kritik güvenlik açıkları barındırabilir.\nKötü amaçlı yazılımların yol açabileceği potansiyel zararları en aza indirmek için bölmelere ayırma (compartmentalization) yöntemini benimsemelisiniz. Bu yöntem şunları içerebilir:\nFarklı işler için tamamen farklı fiziksel bilgisayarlar kullanmak Uygulama gruplarını izole etmek için sanal makineler (VM) kullanmak Uygulama sandboxing\u0026rsquo;i (yalıtımı) ve erişim kontrolüne odaklanan güvenli bir işletim sistemi benimsemek Mobil işletim sistemleri, uygulama sandboxing\u0026rsquo;i açısından masaüstü sistemlere göre genellikle çok daha avantajlıdır. Uygulamalar sisteme doğrudan erişemez ve yalnızca izin verdiğiniz kaynakları kullanabilir.\nMasaüstü işletim sistemleri ise bu konuda biraz geriden gelmektedir. ChromeOS, Android benzeri başarılı bir sandboxing sunarken, macOS sistem izinleri üzerinde sıkı bir kontrol uygular; ancak her iki sistem de üreticilerine telemetri verileri göndermektedir. Linux ise sistem üreticisine veri göndermez fakat varsayılan kurulumlarda kötü amaçlı yazılımlara karşı yalıtım özellikleri zayıftır. Bu durum, Qubes OS gibi sanal makine tabanlı özel dağıtımlarla aşılabilir.\nWeb tarayıcıları, e-posta istemcileri ve ofis yazılımları internetten gelen güvenilmeyen kodları çalıştırır. Bir güvenlik açığının tüm sistemi ele geçirmesini önlemek için bu uygulamaları ana sistemden izole etmek gerekir. Qubes OS veya GrapheneOS gibi işletim sistemleri bu yalıtımı kullanıcıya hissettirmeden uygulayabilen en başarılı örneklerdir.\nFiziksel saldırılara karşı koruma sağlamak için cihazınızda güvenli bir secure boot (güvenli önyükleme) mekanizması bulunmalıdır. Diskinizin şifrelendiğinden ve şifre çözme anahtarlarınızın tahmin edilmesini (kaba kuvvet saldırılarını) engellemek için TPM, Secure Enclave veya Secure Element gibi donanımsal koruyucuların kullanıldığından emin olun.\nYanlış Yaklaşımlar Yeni başlayanların tehdit modeli oluştururken düştüğü bazı hatalı yaklaşımlar şunlardır:\nTüm veri akışını engellemek yerine yalnızca bilinen reklam ağlarına odaklanmak Gizlilik politikası vaatlerine gereğinden fazla güvenmek Güveni bir servis sağlayıcıdan diğerine sorgulamadan aktarmak Sorunları yapısal olarak çözmek yerine yalnızca bilinen zararlıları engellemeye (Badness Enumeration) çalışmak Açık kaynaklı yazılımlara koşulsuz ve körü körüne güvenmek Belirttiğimiz gibi, yalnızca reklam ağlarını hedef almak veya gizlilik politikası vaatlerine güvenmek etkili bir koruma sağlamaz. Servis sağlayıcınızı değiştirmek istediğinizde, öncelikle çözmek istediğiniz temel sorunu tanımlayın ve yeni sağlayıcının bu soruna teknik bir çözüm sunup sunmadığını kontrol edin.\nÖrneğin, Google Drive\u0026rsquo;ı verilerinize tam erişim sahibi olduğu için kullanmak istemeyebilirsiniz. Buradaki asıl sorun, verilerin uçtan uca şifrelenmemiş olmasıdır. Bu problemi Cryptomator gibi bir şifreleme aracıyla veya Proton Drive gibi dahili uçtan uca şifreleme sunan bir servise geçerek çözebilirsiniz. Google Drive\u0026rsquo;dan yine şifreleme sunmayan başka bir bulut sağlayıcısına geçmek anlamlı bir kazanç sağlamayacaktır.\nSadece belirli aktörleri (Google, Amazon, Meta vb.) kara listeye alıp onların servislerini engellemeye çalışmanın (Badness Enumeration/Kötülük Sayımı) kalıcı bir çözüm olmadığını unutmayın. Tehditler sürekli evrilir ve belirli bir düşman listesine odaklanmak sizi yeni aktörlerden veya farklı saldırı tekniklerinden korumaz. Savunma stratejinizi bir düşman listesi üzerine değil, veri sızıntılarını genel olarak önleyen sistemler üzerine kurun (asıl çözüm yalnızca Google\u0026rsquo;a veri vermemek değil, verilerinizi üçüncü şahıslarla paylaşmamaktır).\nBir diğer önemli husus ise açık kaynaklı yazılımların kendiliğinden güvenli veya gizlilik dostu olmadığıdır. Kötü amaçlı kodlar; projenin geliştiricileri, katkı sağlayanlar veya tedarik zincirindeki kütüphaneler aracılığıyla sisteme sızabilir. Ayrıca açık kaynaklı bir yazılım, masaüstü Linux dağıtımları ile macOS kıyaslamasında olduğu gibi, kapalı kaynaklı alternatiflerine kıyasla bazı modern güvenlik özelliklerinden (secure boot, katı sandboxing vb.) yoksun olabilir. Bir tehdit modeli oluştururken, yazılımlara körü körüne güvenmek yerine kendi güvenlik ve gizlilik ihtiyaçlarınızı temel alan rasyonel kararlar almalısınız.\nSonuç Tehdit modeli oluşturmak, çevrimiçi gizliliğinizi ve dijital güvenliğinizi korumanın ilk ve en önemli adımıdır. Karşı karşıya olduğunuz riskleri doğru analiz ederek ve buna uygun orantılı karşı tedbirler alarak, dijital dünyada kendinizi çok daha güvenli bir konuma taşıyabilirsiniz.\nUnutmayın; güvenlik bir ürün değil, dinamik bir süreçtir.\nBu rehberi okuduğunuz için teşekkürler! Faydalı bulduysanız, dijital gizliliğe önem veren arkadaşlarınızla paylaşabilirsiniz.\nİlgili Rehberler Android\u0026rsquo;i Google Servislerinden Arındırma: Eksiksiz Gizlilik Kılavuzu - Google\u0026rsquo;dan arındırılmış bir telefon kurarak tehdit modelinizi mobil cihazınızda uygulayın. GrapheneOS Gelişmiş Kurulum Rehberi - En üst düzey güvenlik sunan mobil işletim sistemi rehberi. Reklam Engelleyicili Kişisel VPN Kurulumu - Kendi sunucunuz üzerinden internet trafiğinizi güvenceye alın. ","permalink":"https://b4.lol/tr/threat-model/","summary":"Gizliliğinizi ve dijital güvenliğinizi korumak için etkili bir tehdit modeli oluşturmayı öğrenin. Yeni başlayanların yaptığı yaygın hataları önleyin.","title":"Tehdit Modeli: Tehditlerinizi Nasıl Tanımlarsınız"},{"content":" TL;DR - Bu rehberde öğrenecekleriniz:\nGizliliğe önem veren bir hosting sağlayıcısı nasıl seçilir WireGuard VPN sunucusu olarak nasıl kurulur ve yapılandırılır Reklam ve takipçileri DNS seviyesinde engellemek için Pi-hole nasıl eklenir Üçüncü taraflara bağımlı kalmadan DNS çözümlemeyi kendi başına yapmak için Unbound nasıl yapılandırılır Özet WireGuard, Pi-hole ve Unbound ile kendi sunucunuzda barındıracağınız bir VPN; cihazlarınız ile VPS arasındaki trafiği şifreler, reklam ve takipçilere yönelen isteklerin büyük bir kısmını DNS seviyesinde engeller ve alan adlarını ticari bir çözümleyiciye bağımlı kalmadan yerel olarak çözer. Sizi tamamen anonim yapmaz; yalnızca güven sınırınızı ticari VPN sağlayıcısından sunucuyu kiraladığınız VPS firmasına kaydırır.\nTicari VPN servisleri mutlak gizlilik vadeder ancak iş modelleri genellikle kullanıcı verilerini analiz etmeye veya toplamaya dayanır. En kararlı alternatif, kendi kişisel VPN sunucunuzu kurmaktır. WireGuard, Pi-hole ve Unbound entegrasyonu sayesinde; şifreli bir bağlantıya, yerleşik reklam/takipçi filtresine ve tamamen bağımsız bir DNS çözümleyicisine sahip olabilirsiniz. Üstelik her şey tamamen sizin kontrolünüzde olur. İşte adım adım yapılması gerekenler:\nAmaç Bu rehberin nihai amacı; reklam ve takipçi engelleme filtresine sahip kendi özel VPN sunucunuzu barındırmaktır. Bu yaklaşım, hazır bir ticari VPN servisi kullanmaya kıyasla bazı avantajlar ve dezavantajlar barındırır:\nAvantajlar Güven Sınırı: İş modeli genellikle kullanıcı verilerini satmaya veya işlemeye dayalı olan ticari VPN sağlayıcılarına güvenmek zorunda kalmazsınız. DNS Seviyesinde Filtreleme: Reklamlar ve takipçiler için özel filtre listeleri ekleyebilirsiniz. Bazı ticari VPN\u0026rsquo;ler de bu özelliği sunar ancak genellikle filtre kalitesi oldukça düşüktür. Tam Kontrol ve Esneklik: Kurulumu tamamen kendi ihtiyaçlarınıza göre özelleştirebilirsiniz: Daha hızlı tüneller oluşturabilir, özel reklam engelleme listeleri tanımlayabilir ve bağlantıyı ailenizle paylaşabilirsiniz. Yargı Yetkisi Seçimi: Kiralayacağınız sunucunun lokasyonunu ve dolayısıyla tabi olacağı yasal çerçeveyi (dijital gizliliğe en çok önem veren ülkeleri tercih ederek) kendiniz belirleyebilirsiniz. Dezavantajlar Dar Anonimlik Kümesi: VPN sunucunuzu çok sayıda kişiyle paylaşmadığınız sürece, sunucunun çıkış IP adresini kullanan tek kişi siz olursunuz. Bu durum, IP adresinin doğrudan sizinle ilişkilendirilmesini kolaylaştıracağı için genel anonimlik düzeyinizi azaltır. Sağlayıcıya Güven: Ticari bir VPN firmasına veri akışını engelleseniz bile, sunucuyu kiraladığınız VPS sağlayıcısı teorik olarak trafiğin nereden gelip nereye gittiğini görebilir (güven sınırını VPN firmasından sunucu firmasına taşımış olursunuz). Bu nedenle sunucu kiralayacağınız şirketi dikkatli seçmeniz kritik önem taşır. Hosting Sağlayıcısı Seçimi Hosting sağlayıcısı, bu kurulumu gerçekleştireceğiniz sunucuyu kiralayacağınız şirket anlamına gelir. Gizliliğinizi koruyan bir yargı yetkisine (Five Eyes veya NATO dışı, ya da veri gizliliği yasaları güçlü olan İzlanda, İsveç, İsviçre gibi ülkeler) sahip bir şirket seçmek çok önemlidir. Tercih edilecek firmanın veri sızıntılarına karışmamış olması, resmi makamlarla minimum veri paylaşımı yapması ve kayıt sırasında minimum kişisel veri talep etmesi (Bitcoin ile ödeme, Tor adresi üzerinden erişim vb.) kritik kriterlerdir.\nBu rehberde size birkaç hosting sağlayıcısı önereceğim; genellikle gizlilik odaklı butik firmalar, büyük küresel sağlayıcılara göre biraz daha pahalıdır. İhtiyacınıza uygun sunucuyu seçerken CPU gücü, depolama ve trafik limitleri gibi teknik detaylara da dikkat etmelisiniz:\nVPSbG : Bant genişliği limitleri, kullanım kolaylığı ve ödeme yöntemleri arasında iyi bir denge sunan, bu alanda tecrübeli bir sağlayıcıdır. 1984 Hosting : İzlanda yargı yetkisine önem veriyorsanız ve geniş bir hizmet kataloğu arıyorsanız ideal bir seçenektir. Njalla : Gizlilik topluluğunda oldukça popüler olan, kayıt esnasında e-posta dışında bilgi istemeyen ve kripto para ile ödemeyi destekleyen bir alternatiftir. Önemli: Sunucu fiyatları, donanım özellikleri ve kullanım politikaları zamanla değişebilir. Satın alım yapmadan önce sağlayıcının resmi web sitesindeki güncel limitleri inceleyin ve sunucuda VPN trafiği oluşturulmasına izin verildiğinden emin olun.\nHosting hizmetini seçtikten sonra, üzerine Debian tabanlı kararlı bir dağıtım (Debian veya Ubuntu) kurulu bir VPS satın almanızı ve güçlü bir giriş şifresi belirlemenizi öneririm.\nSSH ile VPS Sunucusuna Bağlanma Uzak sunucuları yönetmek için en yaygın kullanılan yöntem SSH (Secure Shell) protokolüdür. VPS sunucunuza bağlanmak için bilgisayarınızda bir terminal açıp şu komutu yazın:\nssh [kullanici_adi]@[ip_adresi]\nÖrnek: ssh root@192.34.33.25 (Burada \u0026ldquo;root\u0026rdquo; varsayılan yönetici kullanıcı adını, ardından gelen sayılar ise sunucunuzun IP adresini temsil eder. Bu bilgileri sunucuyu satın aldığınız şirketin yönetim panelinde bulabilirsiniz). Komutu çalıştırdıktan sonra, sizden istenen yönetici şifresini girerek sunucuya erişim sağlayın.\nBağlantıyı sağladıktan sonra, öncelikle sistem paketlerini güncellemek için şu komutu çalıştırın:\nsudo apt update \u0026amp;\u0026amp; sudo apt upgrade -y\nBu rehberde sunucu güvenliği için herkesin kolayca uygulayabileceği temel adımları izleyeceğiz. Eğer daha güvenli bir altyapı kurmak isterseniz, şifre ile giriş yerine SSH anahtarları (public/private key) kullanarak kimlik doğrulamayı araştırmanızı öneririm.\nArdından, sunucuya yönelik kaba kuvvet (brute-force) saldırılarını engellemek ve şüpheli IP adreslerini kısıtlamak amacıyla fail2ban aracını kurun:\nsudo apt install fail2ban\nVPN Sunucusu ve Filtreleme Kurulumu Sunucu güncellemelerini ve temel güvenliğini tamamladıktan sonra asıl kuruluma başlayabiliriz. Öncelikle WireGuard VPN sunucusunu kurmak için şu hazır betikten faydalanacağız:\nBu betik üçüncü taraflarca geliştirilmiş ve güncellenen bir kolaylık aracıdır. Çalıştırmadan önce kaynak kodunu incelemeniz önerilir:\ncurl -O https://raw.githubusercontent.com/angristan/wireguard-install/master/wireguard-install.sh chmod +x wireguard-install.sh ./wireguard-install.sh Ardından, DNS seviyesinde reklam ve takipçileri engelleyecek olan Pi-hole yazılımını kuralım:\ncurl -sSL https://install.pi-hole.net | bash\nKurulum sihirbazı sırasında ağ arayüzü olarak \u0026ldquo;wg0\u0026rdquo; seçeneğini belirleyin. Özel DNS sunucusu kısmını geçici bir değerle geçebilirsiniz (sonrasında bu ayarı güncelleyeceğiz). Kurulum tamamlandıktan sonra web yönetim paneline erişimde kullanacağınız şifreyi şu komutla tanımlayın:\npihole setpassword\nBelirlediğiniz şifreyi güvenli bir yere not edin.\nŞimdi, DNS sorgularımızı harici üçüncü taraf sunuculara göndermeden yerel olarak çözümlememizi sağlayacak olan Unbound yazılımını kuralım:\nsudo apt install unbound\nUnbound ayarlarını yapmak için şu komutla yeni bir yapılandırma dosyası oluşturun:\nnano /etc/unbound/unbound.conf.d/pi-hole.conf\nAşağıdaki yapılandırma bloğunu dosyanın içerisine yapıştırıp kaydedin:\nserver: verbosity: 0 interface: 127.0.0.1 port: 5335 do-ip4: yes do-udp: yes do-tcp: yes do-ip6: yes prefer-ip6: no harden-glue: yes harden-dnssec-stripped: yes use-caps-for-id: no edns-buffer-size: 1472 prefetch: yes prefetch-key: yes minimal-responses: yes cache-min-ttl: 300 cache-max-ttl: 86400 serve-expired: yes msg-cache-size: 50m rrset-cache-size: 100m num-threads: 1 so-reuseport: yes so-rcvbuf: 4m so-sndbuf: 4m private-address: 192.168.0.0/16 private-address: 169.254.0.0/16 private-address: 172.16.0.0/12 private-address: 10.0.0.0/8 private-address: fd00::/8 private-address: fe80::/10 Unbound servisini yeniden başlatarak ayarları aktif hale getirin:\nsudo systemctl restart unbound\nBu aşamada yerel DNS sunucumuz hazır durumdadır. Şimdi Pi-hole\u0026rsquo;u, DNS sorgularını çözümlerken Unbound\u0026rsquo;u kullanacak şekilde yapılandıralım. Pi-hole v6 üzerinde bu ayarlar CLI üzerinden şu komutlarla hızlıca yapılabilir:\nsudo pihole-FTL --config dns.upstreams \u0026#39;[\u0026#34;127.0.0.1#5335\u0026#34;]\u0026#39; sudo pihole-FTL --config dns.listeningMode \u0026#39;local\u0026#39; sudo pihole-FTL --config dns.dnssec \u0026#39;false\u0026#39; Bu komutlar Pi-hole\u0026rsquo;a, tek yetkili DNS çözücü olarak yerel ağdaki Unbound\u0026rsquo;u (5335 portu) kullanmasını söyler.\nPi-hole ve Reklam Listesi Yapılandırması Komut satırı üzerindeki işlemlerimiz tamamlandı! 🎉 Artık VPN bağlantısını aktif etmeden önce reklam ve takipçi filtrelerini ekleyebiliriz. Tarayıcınızın adres çubuğuna şunu yazın:\nhttp://{sunucu_ip_adresiniz}/admin\nÖrnek: http://84.177.121.221/admin\nBurada Pi-hole yönetim panelinin giriş ekranı ile karşılaşacaksınız. pihole setpassword komutuyla belirlediğiniz şifreyi kullanarak giriş yapın. Giriş yaptıktan sonra sol menüden Adlists bölümüne gidin. Bu kısma, engellenmesini istediğiniz alan adlarını içeren filtre listelerini ekleyeceğiz. Filtre listesi seçerken dikkatli olmak gerekir; zira çok fazla ve agresif listeler eklemek internetteki pek çok web sitesinin veya uygulamanın kararsız çalışmasına ya da tamamen açılmamasına yol açabilir. Güvenilir topluluklar tarafından güncellenen dengeli listeleri tercih etmek en sağlıklı yaklaşımdır. Başlangıç için aşağıdaki popüler listeleri ekleyebilirsiniz:\nhttps://raw.githubusercontent.com/StevenBlack/hosts/master/hosts https://adaway.org/hosts.txt https://v.firebog.net/hosts/AdguardDNS.txt https://v.firebog.net/hosts/Easyprivacy.txt https://winhelp2002.mvps.org/hosts.txt Listeleri ekledikten sonra Tools → Gravity sayfasına giderek güncellemeyi başlatın. Bu işlem listelerdeki alan adlarını veritabanına işleyecektir. Bazı web sitelerinde veya uygulamalarda erişim sorunları yaşamanız durumunda (örneğin bazı engelleme listeleri Twitter\u0026rsquo;ın yönlendirme bağlantısı olan t.co adresini engelleyebilir), ilgili alan adlarını Domains → Whitelist (Beyaz Liste) bölümüne ekleyebilirsiniz. Yaptığınız değişikliklerin etkin olması için Gravity veritabanını güncellemeyi unutmayın.\nYapılandırmaların Cihazlara Aktarılması Şimdi oluşturduğumuz bu VPN yapılandırmasını cihazlarımızda aktif edelim.\nMobil Cihazlar (iOS / Android): Cihazınıza resmi WireGuard uygulamasını yükleyin. Ardından sunucunuzun terminalinde şu komutu çalıştırın:\nbash wireguard-install.sh\nMenüden yeni bir istemci ekleme seçeneğini (Add new client) seçin, istemciye bir isim verin ve DNS ayarı sorulduğunda varsayılan çözücüyü belirtin. Terminalde oluşturulan QR kodunu telefonunuzdaki WireGuard uygulamasına okutun.\nUygulamadaki \u0026lsquo;DNS Servers\u0026rsquo; kısmına VPS sunucunuzun IP adresini yazın. \u0026lsquo;Endpoint\u0026rsquo; bölümünde ise sunucu IP adresiniz ve hemen ardından :51820 port numarasının yer aldığını doğrulayın. Yapılandırmayı kaydedip VPN bağlantısını aktifleştirin.\nBilgisayarlar (Windows / macOS / Linux): Bilgisayarınıza WireGuard istemcisini yükleyin. Sunucuda oluşturduğunuz .conf yapılandırma dosyasını bilgisayarınıza aktarın:\nWindows/macOS: .conf dosyasını doğrudan WireGuard grafik arayüzüne aktarabilirsiniz. Linux: Yapılandırma dosyasını /etc/wireguard/ dizini altına (örneğin vpn.conf adıyla) kaydedin. Ardından bağlantıyı başlatmak için: sudo wg-quick up vpn Bağlantıyı kapatmak için ise: sudo wg-quick down vpn komutlarını kullanabilirsiniz. Bilgisayar tarafında da DNS sunucusu ve Endpoint alanlarının sunucunuzun IP adresini gösterdiğinden emin olun.\nİşlevselliğin Doğrulanması VPN kurulumumuz tamamlandığına göre her şeyin beklendiği gibi çalışıp çalışmadığını test edebiliriz:\nTarayıcınızdan vpntesting.com adresini ziyaret ederek bir test başlatın. Tespit edilen dış IP adresinin ve konum bilgisinin kendi gerçek internetinize değil, kiraladığınız VPS sunucusuna ait olduğunu doğrulayın. Reklam engelleyicinin performansını ölçmek için d3ward.github.io/toolz/adblock.html adresindeki testi çalıştırın. Sonucun %70-80\u0026rsquo;in üzerinde çıkması, Pi-hole filtrelerinizin başarıyla devrede olduğunu gösterir. (Testi yaparken tarayıcınızdaki diğer reklam engelleyici eklentileri geçici olarak devre dışı bırakın ki Pi-hole\u0026rsquo;un performansını doğrudan gözlemleyebilesiniz). Tüm bu adımları başarıyla tamamladıysanız tebrikler; kendi güvenli ve filtreli ağ geçidinizi kurdunuz! 🐉\nSonuç Kendi sunucunuzda barındıracağınız bir VPN; gizlilik, esneklik ve reklam engelleme yetenekleri açısından oldukça dengeli bir çözümdür. Sunucu limitlerinizi ve filtre listelerinizi zamanla kendi ihtiyaçlarınıza göre optimize edebilirsiniz. Bu kurulum, gizliliğinizi ticari bir sağlayıcının inisiyatifine bırakmak istemeyenler için en kararlı yoldur.\nİlgili Rehberler Tor Relay Kurulum Kılavuzu - Kendi sunucunuz üzerinden Tor ağına katkıda bulunun. Tehdit Modeli Nasıl Oluşturulur? - Dijital gizlilik yolculuğunun ilk ve en önemli adımı. Android\u0026rsquo;i Google Servislerinden Arındırma: Eksiksiz Gizlilik Kılavuzu - Mobil cihazınızı Google servislerinden tamamen arındırın. GrapheneOS Gelişmiş Kurulum Rehberi - Mobil gizlilik için en iyi işletim sistemi. ","permalink":"https://b4.lol/tr/vpn/","summary":"WireGuard, Pi-hole ve Unbound DNS ile kendi özel VPN\u0026rsquo;ini kur. Ticari sağlayıcılara güvenmeden reklam ve takipçileri engelle. Eksiksiz rehber.","title":"Kendi Sunucunda VPN: WireGuard + Pi-hole + Unbound"},{"content":" TL;DR - Bu rehberde öğrenecekleriniz:\nTor ağının ne olduğu ve \u0026ldquo;onion routing\u0026rdquo; (soğan yönlendirmesi) sisteminin nasıl çalıştığını, Evde barındırılan bir düğüm ile kiralık bir VPS arasındaki riskleri nasıl değerlendireceğinizi, Otomatik kurulum betiği (script) veya Tor Project\u0026rsquo;in resmi paketlerini kullanarak bir Tor düğümünün (ara düğüm veya çıkış düğümü) nasıl kurulacağını, Kurduğunuz düğümün doğru çalışıp çalışmadığını nasıl doğrulayacağınızı. Özet Tor düğümü, Tor ağında trafiği ileten gönüllü bir sunucudur. Ağa sorumlu bir şekilde katkıda bulunmak için bir VPS veya özel bir makine üzerinde ara düğüm (middle relay) ile başlamak, gerçekçi bant genişliği sınırları belirlemek, sistemi güncel tutmak ve düğüm durumunu günlük kayıtları (logs), Nyx ve Tor Metrics aracılığıyla doğrulamak en iyi yaklaşımdır.\nTor ağı, çevrimiçi gizliliğin temel direklerinden biridir; gazeteciler, aktivistler ve gözetimden korunmak isteyen herkes tarafından kullanılır. Ancak Tor, yalnızca kendi düğümlerini sağlayan gönüllüler sayesinde çalışır. Ne kadar çok düğüm olursa, ağ o kadar hızlı, güvenli ve sansüre dirençli hale gelir. Bu rehber, kendi relay düğümünüzü birkaç adımda kurarak Tor ağına nasıl aktif olarak katkıda bulunabileceğinizi açıklamaktadır.\nBu rehber, Tor ağını desteklemek için bir düğüm başlatmaya yönelik kapsamlı bir kılavuzdur. Başlamadan önce bu protokolün çalışma prensibini kısaca açıklayalım:\n\u0026ldquo;The Onion Router\u0026quot;ın kısaltması olan Tor ağı, internette kullanıcıların gizliliğini ve güvenliğini artırmak için tasarlanmış anonim bir iletişim ağıdır. Adını, çalışma prensibinin bir soğanın katmanlarına benzer şekilde birden fazla şifreleme katmanına dayanmasından, yani \u0026ldquo;onion\u0026rdquo; (soğan) kavramından alır.\nTor\u0026rsquo;un temel amacı, kullanıcıların çevrimiçi etkinliklerinin takip edilmesini zorlaştırmak, kimliklerini ve konumlarını korumaktır. Ağ, internet trafiğini dünyanın dört bir yanındaki gönüllüler tarafından işletilen \u0026ldquo;Tor düğümleri\u0026rdquo; adı verilen bir dizi sunucu üzerinden yönlendirerek çalışır. Her Tor düğümü bir şifreleme katmanını kaldırır ve yalnızca önceki düğümün IP adresini ortaya çıkarır, bu da trafiğin kaynağına ulaşmayı zorlaştırır.\nBu katmanlı yaklaşım sayesinde Tor, kullanıcılara önemli düzeyde anonimlik sağlar; ancak tam bir güvenlik sunmadığını ve belirli senaryolarda saldırılara karşı zayıf kalabileceğini belirtmek önemlidir. Buna rağmen Tor ağı; gazeteciler, insan hakları aktivistleri ve çevrimiçi gizliliklerini korumaya çalışan kullanıcılar tarafından yaygın olarak kullanılmaktadır.\nDaha fazla bilgi için ilgili podcast bölümünü dinlemeniz önerilir:\nHedef Bu rehberin nihai amacı, çeşitli fayda ve riskleri değerlendirerek yerel olarak veya bir VPS üzerinde bir Tor düğümü barındırmanızı sağlamaktır. Bu rehberi tamamladığınızda, ağı daha güvenli ve saldırılara karşı daha dirençli hale getirerek ağın gelişimine katkıda bulunmuş olacaksınız.\nBu rehber kapsamında iki farklı yöntem sunulmaktadır:\nHazırlanan otomatik kurulum betiği (script) ile (önerilen) Tor Project\u0026rsquo;in resmi paketlerini kullanarak manuel kurulum ile Asıl kuruluma geçmeden önce, bir sonraki bölümde kendi ev ağınızda veya kiralık bir sunucu üzerinde düğüm barındırmanın risklerini ve faydalarını inceleyeceğiz.\nRisk Değerlendirmesi Bir Tor düğümünün kurulumu, ev ağında ya da çevrimiçi kiralık bir sunucuda olsun, bireysel ihtiyaçların dikkatli bir şekilde değerlendirilmesini gerektirir. Ev ağı kullanmanın en önemli avantajlarından biri, altyapı üzerinde tam kontrole sahip olunmasıdır. Bu durum, yapılandırmaları kendi tercihlerinize göre özelleştirmenize olanak tanır. Ayrıca, evde bir Tor düğümü çalıştırmak, gerekli donanıma zaten sahipseniz daha ekonomik bir seçenek olabilir.\nBununla birlikte, göz önünde bulundurulması gereken bazı dezavantajlar da mevcuttur. Ev tipi internet bağlantıları genellikle bant genişliği sınırlarına sahiptir ve bu durum Tor düğümünün genel hızını etkileyebilir. Ayrıca ev interneti her zaman en yüksek düzeyde kesintisiz çalışmayı garanti etmeyebilir; servis sağlayıcılar tarafından atanan dinamik IP adresleri de düğümün ağdaki kararlılığını azaltabilir. Son bir dezavantaj ise düğümü kendi ev ağınızda çalıştırmanın, evinizde bir Tor düğümü barındırıldığını herkese açık şekilde ifşa etmesidir. Bu durum, gizliliğe üst düzeyde önem veren kişiler için istenmeyen bir durum olabilir.\nÖte yandan, kiralık bir sanal sunucu (VPS) kullanmak yüksek bant genişliği, daha yüksek kesintisiz çalışma (uptime) oranı ve statik bir IP adresine sahip olma gibi avantajlar sağlar. Ancak bu seçenek aylık ek maliyet getirir ve ev kurulumuna kıyasla donanım üzerindeki doğrudan kontrolünüzü sınırlar.\nAyrıca, uzaktaki kiralık bir sunucuyu yönetirken, sunucunun barındırıldığı ülkenin yasal düzenlemelerine ve servis sağlayıcının politikalarına uyum sağlanması gerektiği göz önünde bulundurulmalıdır. Sonuç olarak, ev ağı ile kiralık sunucu arasında yapılacak seçim; kontrol düzeyi, bütçe, gereken bant genişliği ve yasal uyumluluk gibi çeşitli faktörlere bağlıdır.\nÖzetlemek gerekirse: Evde barındırılan bir düğüm, ağa daha yüksek düzeyde merkeziyetsizlik kazandırır; ancak evinizde Tor düğümü çalıştırıldığının açığa çıkması ve yerel ağ yönlendirmelerini yaparken yaşanabilecek teknik zorluklar temel dezavantajlarıdır. Kiralık sanal sunucularda ise kurulum çok daha kolay ve hızlıdır; fakat bu durum maliyeti artırırken donanım üzerindeki doğrudan kontrolünüzü azaltır.\nHosting Sağlayıcısı Seçimi Tor düğümü barındırmak amacıyla sanal özel sunucu (VPS) kiralarken, güvenilir ve güvenli bir çalışma ortamı sağlamak için bazı kriterlere dikkat etmek büyük önem taşır:\nİlk olarak, sunucunun sunduğu bant genişliği, düğümün veri iletim hızını doğrudan etkiler. Tor ağındaki trafiği verimli bir şekilde yönetebilmek için yüksek limitli veya sınırsız bant genişliği tercih edilmelidir.\nSunucunun fiziksel konumu da dikkatle değerlendirilmelidir. Stratejik bir coğrafi konum seçimi, düğüm üzerinden bağlanan kullanıcılar için gecikme sürelerini (ping) azaltarak performansı artırır. Ayrıca sunucunun bulunduğu ülkenin yasal düzenlemeleri ve gizlilik kanunları da bu doğrultuda değişiklik gösterecektir.\nVPS sağlayıcısının gizlilik politikası da kritik bir öneme sahiptir. Sağlayıcının kullanıcı gizliliğine saygı duyduğunu ve veri kaydı (log) tutmadığını doğrulamak, ağın yapısını korumak açısından gereklidir. Ek olarak, Tor düğümünün ağda kalıcı ve kararlı bir şekilde tanınması için statik bir IP adresi içeren bir paket seçilmesi önerilir.\nSon olarak, sunucunun güvenlik duvarı (firewall) yapılandırması ve sunucu güvenliği seçenekleri, düğümü dış tehditlere karşı korumak için incelenmelidir.\nBu kriterleri göz önünde bulundurarak, bir Tor düğümünü güvenle çalıştırabileceğiniz en uygun VPS paketini belirleyebilirsiniz.\nDüğüm barındırmak için öne çıkan bazı güvenilir VPS sağlayıcıları şunlardır:\nVPSbG : Donanım performansı, bant genişliği, gizlilik politikası ve ödeme yöntemleri açısından oldukça dengeli bir seçenek sunmaktadır. Sunucuları Bulgaristan lokasyonludur ve hem ara düğüm (middle relay) hem de çıkış düğümü (exit relay) kurulumuna izin vermektedirler (otomatik kurulum betiği bunu uygun şekilde yapılandırmaktadır). UDN (Ukrainian Data Network) : Gizliliğe azami önem veren bir sağlayıcıdır. Öyle ki, bir sunucu kiralamak için yöneticilerle doğrudan XMPP üzerinden iletişime geçmeniz gerekir; web sitesinde klasik bir üyelik sistemi veya sepet adımı bulunmamaktadır. Performans olarak mütevazı ancak yüksek bant genişliği (10-15 TB) sunan ekonomik paketleri mevcuttur. Trabia : Moldova merkezli bu sağlayıcı, oldukça uygun fiyatlarla sınırsız bant genişliği sunmasıyla bilinir. Gizlilik hassasiyeti ortalama düzeydedir; Bitcoin ile ödeme kabul etseler de kayıt esnasında bazı kişisel bilgiler talep etmektedirler. Bu bilgilerin doğruluğu sıkı biçimde denetlenmese de gerçekçi yapıda olması sürecin onaylanması açısından önemlidir. Düğüm türlerine göre önerilen minimum sistem gereksinimleri şu şekildedir:\nAra Düğüm (Middle Relay): En az 1 CPU çekirdeği, 512 MB RAM ve aylık 2 TB bant genişliği (mümkünse 5 TB veya üzeri önerilir). Bağlantı hızı yüksek olan (40 MB/s üzeri) düğümler için en az 1 GB RAM tavsiye edilir. Çıkış Düğümü (Exit Relay): En az 1 CPU çekirdeği, 1 GB RAM ve aylık 2 TB bant genişliği. Yüksek hızlı çıkış düğümleri için ise en az 2 GB RAM gereklidir. Sanal sunucunuzu (VPS) satın aldıktan sonra doğrudan yapılandırma adımına geçebilirsiniz!\nOtomatik Kurulum Betiği ile Kurulum (Önerilen) Rehberimize, kurulum için en hızlı ve verimli yöntem olan Bash betiği ile başlayalım. Gereksinimler: Debian veya Ubuntu yüklü bir bilgisayar, sanal sunucu (VPS) veya Raspberry Pi. Sunucunuzun veya makinenizin terminaline (shell) bağlandıktan sonra, eğer doğrudan root yetkisine sahip bir VPS kullanıyorsanız aşağıdaki komutların başındaki sudo ifadesini yazmanıza gerek olmadığını unutmayın. Kuruluma başlamak için aşağıdaki komutları çalıştırabilirsiniz:\nsudo apt-get update \u0026amp;\u0026amp; sudo apt-get upgrade -y sudo apt install git git clone https://github.com/b4lol/Tor-node-script.git cd Tor-node-script chmod +x tor.sh sudo ./tor.sh Bu komutlar sırasıyla; işletim sistemini günceller, Git sürüm kontrol sistemini yükler, ilgili depoyu GitHub\u0026rsquo;dan klonlar, klasörün içine girer, betiğe çalıştırma yetkisi verir ve son olarak tor.sh kurulum sihirbazını başlatır.\nBu aşamada kurulum betiği çalışmaya başlayarak işletim sistemini güncelleyecek, gerekli tüm bağımlılıkları yükleyecek, PGP imzalarını doğrulayacak, Tor servisini kuracak ve yapılandırmayı kişiselleştirmeniz için size birkaç soru yöneltecektir:\nMiddle Relay mi Exit mi?\nAra düğüm (middle relay) yönetimi oldukça kolaydır, herhangi bir yasal veya teknik risk taşımaz ve ağa katkı sağlamak isteyenler için en ideal seçenektir. Çıkış düğümü (exit relay) ise ağ trafiğini doğrudan dış internete taşıdığı için daha çok deneyimli kullanıcılara hitap eden, yasal sorumluluğu yüksek bir düğüm türüdür. Eğer bu konuda tecrübeniz yoksa, ilgili numarayı girerek Middle Relay seçeneğini tercih edin. Nickname (Takma Ad):\nTor düğümünüze vermek istediğiniz ismi yazın. Çok uzun isimlerden kaçının ve Türkçe karakter ya da boşluk kullanmayın. Yalnızca harf, rakam ve alt çizgi (_) karakterlerini kullanabilirsiniz. Email (İletişim E-postası):\nDüğümünüzde teknik bir sorun yaşanması durumunda Tor Vakfı\u0026rsquo;nın (Tor Foundation) size ulaşabilmesi için bir iletişim adres girmeniz önerilir. Gireceğiniz adresin halka açık şekilde yayınlanacağını unutmayın. Adresinizi botların taramasından korumak için isim[at]eposta[dot]com gibi maskelenmiş şekilde yazabilir, hiçbir bilgi paylaşmak istemiyorsanız redacted olarak bırakabilir ya da bağış almak istiyorsanız bir Bitcoin/Lightning adresi ekleyebilirsiniz. Bandwidth (Bant Genişliği):\nDüğümünüzün kullanabileceği haftalık veri limitini belirleyin. MB, GB veya TB birimlerini kullanabilirsiniz. Örneğin, aylık 1 TB trafik limitiniz varsa haftalık sınırı 250 GB olarak belirtebilirsiniz. Sayı ve birim arasındaki boşluk kuralına uymaya özen gösterin. Tebrikler, kurulum tamamlandı! Betiğin çalışması sırasında bir hata ile karşılaşırsanız GitHub sayfası üzerinden bir hata bildirimi (issue) açabilir veya /etc/tor/torrc dosyasını manuel kontrol edebilirsiniz. Şimdi doğrudan kurulum sonrası kontroller bölümüne geçebilirsiniz.\nResmi Depolar Üzerinden Manuel Kurulum (Alternatif) Eğer manuel kurulum yolunu tercih ederseniz, bu süreçte hata yapma olasılığının yüksek olduğunu ve sorun gidermenin vakit alabileceğini belirtmek isterim. Rehberin bu bölümünde, kurulum betiğimizin arka planda otomatik olarak yaptığı işlemleri adım adım elle gerçekleştireceğiz. Bu rehber Debian tabanlı sistemler için hazırlanmıştır. Farklı bir işletim sistemi kullanıyorsanız Tor Projesi resmi kurulum belgelerini inceleyebilirsiniz.\nNot: Tor\u0026rsquo;u kaynak koddan derlemek yerine, Debian/Ubuntu üzerinde düzenli güncellemeleri ve güvenlik yamalarını kolayca alabilmek için Tor Projesi\u0026rsquo;nin resmi paket depolarını kullanacağız.\nÖn Gereksinimler:\nKullanıma hazır, terminal bağlantısı kurulmuş Debian veya Ubuntu yüklü bir sunucu/bilgisayar.\nSistem güvenlik güncellemelerinin otomatik yüklenmesini sağlayın. (Bu işlem zorunlu olmasa da kararlılık için şiddetle tavsiye edilir; aksi halde belirli aralıklarla sunucuya bağlanıp güncellemeleri elle yapmanız gerekir).\nTor resmi depolarını ve PGP anahtarını ekleyerek kuruluma başlayın:\nGerekli sistem bağımlılıklarını yükleyin: apt install apt-transport-https 2. Dağıtımınızın adını kontrol edin ve not edin (örnekler: bookworm, focal, bullseye, vb.) lsb_release -c 3. `/etc/apt/sources.list.d/` klasöründe `tor.list` adında yeni bir dosya oluşturun (`nano /etc/apt/sources.list.d/tor.list`) ve dağıtım ismini az önce not ettiğiniz adla değiştirmeyi unutmadan aşağıdaki satırları ekleyin: deb [signed-by=/usr/share/keyrings/tor-archive-keyring.gpg] https://deb.torproject.org/torproject.org \u0026lt;distribution\u0026gt; main deb-src [signed-by=/usr/share/keyrings/tor-archive-keyring.gpg] https://deb.torproject.org/torproject.org \u0026lt;distribution\u0026gt; main 4. PGP anahtarlarını ve Tor deposunu şu komutla ekleyin: wget -qO- https://deb.torproject.org/torproject.org/A3C4F0F979CAA22CDBA8F512EE8CBC9E886DDD89.asc | gpg --dearmor | tee /usr/share/keyrings/tor-archive-keyring.gpg \u0026gt;/dev/null 5. Depoları güncelleyin ve Tor'u kurun: apt update apt install tor deb.torproject.org-keyring Bu noktada, nano /etc/tor/torrc komutuyla Tor\u0026rsquo;un yapılandırma dosyasını düzenlemeye geçiyoruz; ara düğüm mü yoksa çıkış düğümü mü yapmak istediğinize bağlı olarak aşağıdaki yapılandırmalardan birini kopyalayın.\nDikkat!! Yapılandırmayı kopyalayıp yapıştırdıktan sonra değiştirilmesi gereken parametreler vardır; bunlar aşağıdaki iki örnekten sonra listelenecektir.\nMiddle relay (Ara düğüm) Nickname $nickname ContactInfo $contact_info AccountingRule sum AccountingStart week 1 10:00 AccountingMax $bandwidth ORPort 443 ExitRelay 0 SocksPort 0 Exit relay (Çıkış düğümü) Nickname $nickname ContactInfo $contact_info AccountingRule sum AccountingStart week 1 10:00 AccountingMax $bandwidth ORPort 443 ExitRelay 1 SocksPort 0 ExitPolicy accept *:22 # SSH ExitPolicy accept *:23 # Telnet ExitPolicy accept *:43 # WHOIS ExitPolicy accept *:53 # DNS ExitPolicy accept *:79 # finger ExitPolicy accept *:80-81 # HTTP ExitPolicy accept *:88 # kerberos ExitPolicy accept *:110 # POP3 ExitPolicy accept *:143 # IMAP ExitPolicy accept *:194 # IRC ExitPolicy accept *:220 # IMAP3 ExitPolicy accept *:389 # LDAP ExitPolicy accept *:443 # HTTPS ExitPolicy accept *:464 # kpasswd ExitPolicy accept *:465 # URD for SSM (more often: an alternative port, see 587) ExitPolicy accept *:531 # IRC/AIM ExitPolicy accept *:543-544 # Kerberos ExitPolicy accept *:554 # RTSP ExitPolicy accept *:563 # NNTP over SSL ExitPolicy accept *:587 # SUBMISSION (authenticated clients send mail over STARTTLS SMTP here) ExitPolicy accept *:636 # LDAP over SSL ExitPolicy accept *:706 # SILC ExitPolicy accept *:749 # kerberos ExitPolicy accept *:853 # DNS over TLS ExitPolicy accept *:873 # rsync ExitPolicy accept *:902-904 # VMware ExitPolicy accept *:981 # Remote HTTPS management for firewall ExitPolicy accept *:989-990 # FTP over SSL ExitPolicy accept *:991 # Netnews Administration System ExitPolicy accept *:992 # TELNETS ExitPolicy accept *:993 # IMAP over SSL ExitPolicy accept *:994 # IRCS ExitPolicy accept *:995 # POP3 over SSL ExitPolicy accept *:1194 # OpenVPN ExitPolicy accept *:1220 # QT Server Admin ExitPolicy accept *:1293 # PKT-KRB-IPSec ExitPolicy accept *:1500 # VLSI License Manager ExitPolicy accept *:1533 # Sametime ExitPolicy accept *:1677 # GroupWise ExitPolicy accept *:1723 # PPTP ExitPolicy accept *:1755 # RTSP ExitPolicy accept *:1863 # MSNP ExitPolicy accept *:2082 # Infowave Mobility Server ExitPolicy accept *:2083 # Secure Radius Service (radsec) ExitPolicy accept *:2086-2087 # GNUnet, ELI ExitPolicy accept *:2095-2096 # NBX ExitPolicy accept *:2102-2104 # Zephyr ExitPolicy accept *:3128 # SQUID ExitPolicy accept *:3389 # MS WBT ExitPolicy accept *:3690 # SVN ExitPolicy accept *:4321 # RWHOIS ExitPolicy accept *:4643 # Virtuozzo ExitPolicy accept *:5050 # MMCC ExitPolicy accept *:5190 # ICQ ExitPolicy accept *:5222-5223 # XMPP, XMPP over SSL ExitPolicy accept *:5228 # Android Market ExitPolicy accept *:5900 # VNC ExitPolicy accept *:6660-6669 # IRC ExitPolicy accept *:6679 # IRC SSL ExitPolicy accept *:6697 # IRC SSL ExitPolicy accept *:8000 # iRDMI ExitPolicy accept *:8008 # HTTP alternate ExitPolicy accept *:8074 # Gadu-Gadu ExitPolicy accept *:8080 # HTTP Proxies ExitPolicy accept *:8082 # HTTPS Electrum Bitcoin port ExitPolicy accept *:8087-8088 # Simplify Media SPP Protocol, Radan HTTP ExitPolicy accept *:8332-8333 # Bitcoin ExitPolicy accept *:8443 # PCsync HTTPS ExitPolicy accept *:8888 # HTTP Proxies, NewsEDGE ExitPolicy accept *:9418 # git ExitPolicy accept *:9999 # distinct ExitPolicy accept *:10000 # Network Data Management Protocol ExitPolicy accept *:11371 # OpenPGP hkp (http keyserver protocol) ExitPolicy accept *:19294 # Google Voice TCP ExitPolicy accept *:19638 # Ensim control panel ExitPolicy accept *:50001-50002 # Electrum Bitcoin SSL ExitPolicy accept *:64738 # Mumble ExitPolicy reject *:* Her iki yapılandırmada da elle değiştirilmesi gereken 3 alan bulunmaktadır:\n$nickname:\nBu bölümde Tor düğümünüze vermek istediğimiz adı yazmanız gerekir. Çok uzun adlardan kaçının ve boşluk kullanmayın; izin verilen tek karakterler harfler, sayılar ve alt çizgidir.\nÖrnek: Nickname TORtaruga $contact_info:\nBu bölüm, düğümünüzde çok ciddi sorunlar olması durumunda Tor Vakfı\u0026rsquo;nın size ulaşabileceği bir iletişim bilgisi sağlamak için kullanılmalıdır. Gireceğiniz adresin halka açık olarak yayınlanacağını unutmayın. Botların e-posta adresinizi taramasını zorlaştırmak için maskeleme yapabilir (örneğin isim[@]alanadi[.]com) veya bilgi paylaşmak istemiyorsanız redacted yazabilirsiniz. $bandwidth:\nBu alanda düğüme tahsis edilen haftalık bant genişliğini belirtmeniz gerekecektir. Kullanılabilecek birimler MB, GB veya TB şeklindedir. Örneğin aylık 1 TB bant genişliği sınırınız varsa, haftalık limit alanına 250 GB yazabilirsiniz. Sayı, boşluk ve ölçü birimi biçimlendirmesine uymaya özen gösterin. Kurulum Sonrası Yönetim Tebrikler! İster otomatik betiği kullanmış olun ister kurulumu elle yapmış olun, resmi olarak bir Tor düğümü oluşturdunuz. Yapılandırma değişikliklerinin uygulanması için öncelikle sistemimizdeki Tor servisini yeniden başlatalım:\nsudo systemctl restart tor@default Bu işlemden sonra düğümünüz aktif hale gelecektir. Herhangi bir sorun oluşması durumunda, hata tespiti yapmak için günlük kayıtlarını şu komutla inceleyebilirsiniz:\njournalctl -xeu tor@default Logları incelemek bazen karmaşık görünse de sorunları gidermek için en güvenli yoldur (çoğu zaman /etc/tor/torrc dosyasındaki küçük bir yazım hatası servisin başlamasını engeller).\nSon olarak, düğümünüzün performans durumunu anlık olarak izlemek isterseniz htop benzeri bir terminal arayüzü sunan nyx aracını kurabilirsiniz:\nsudo apt install nyx Ardından sadece nyx komutunu çalıştırarak düğüm istatistiklerini izlemeye başlayabilirsiniz.\nAğ Görünürlüğünü Doğrulama Her şeyin yolunda gittiğini doğrulamak için son adım, düğümünüzün aktifleşmesinden birkaç saat sonra Tor Vakfı\u0026rsquo;nın tüm aktif düğümleri listelediği resmi Tor Metrics web sitesini ziyaret etmektir. Arama kutusuna belirlediğiniz düğüm adını veya IP adresinizi yazarak arama yapabilirsiniz.\nDüğümünüz arama sonuçlarında doğru şekilde listeleniyorsa, artık ağa aktif olarak katkı sunan bir Tor düğümünüz var demektir!\nSonuç Tebrikler! Düğümünüz aktif hale geldi ve ağa değerli bir katkı sağladınız. İlginiz ve emeğiniz için teşekkürler! Bu rehberi faydalı bulduysanız, diğer kullanıcılarla paylaşarak daha fazla kişinin ağa destek olmasına yardımcı olabilirsiniz.\nAğa bir Tor düğümü kazandırarak harika bir katkıda bulundunuz! 🐢\nİlgili Rehberler WireGuard ile Self-Hosted VPN - Reklam engelleme özellikli, kendinize ait özel bir VPN oluşturun. Tehdit Modeli Nasıl Oluşturulur - Dijital güvenliğinizi sağlamanın ilk adımı. GrapheneOS Hakkında Nihai Rehber - Mobil gizlilik ve güvenlik için en iyi mobil işletim sistemi. ","permalink":"https://b4.lol/tr/tor/","summary":"VPS üzerinde veya yerel olarak bir Tor düğümü (middle relay veya exit) kurmayı öğrenin. Otomatik script dahildir. Eksiksiz rehber.","title":"Tor Düğümü: Ağı Desteklemek İçin Eksiksiz Kurulum"},{"content":"Merhaba, ben Hüseyin (b4lol) Bana hazır bir hayat verilmesini hiçbir zaman kabul etmedim. Önüme konulan paketlenmiş sistemleri olduğu gibi tüketmek yerine, gerekirse en dipten kendi sistemimi kurmayı seçerim \u0026ndash; çünkü bir yapının mimarı sen değilsen, o yapının içinde gerçekten özgür olamazsın. Bu site, bu inancın doğal bir uzantısıdır. Bir dijital gizlilik savunucusu ve siber güvenlik araştırmacısı olarak, yıllardır insanların dijital yaşamlarının kontrolünü yeniden ellerine almalarına yardımcı olmak amacıyla ücretsiz ve erişilebilir rehberler hazırlıyorum.\nGizliliğin \u0026ldquo;saklanacak\u0026rdquo; bir şey olmadığına, her gün kullanılması gereken temel bir hak olduğuna kesinlikle inanıyorum \u0026ndash; ifade özgürlüğü, sansüre karşı duruş ve bireysel hakların dokunulmazlığı konusunda da aynı netlikle düşünüyorum. Çalışmalarım, herkesin kendini koruyacak araçlara ve bilgiye sahip olması gerektiği inancından doğuyor; kişisel verilerden kazanç sağlayan şirketlere veya ücretli servislere bağımlı kalmadan.\nTeknik tarafım da aynı arayışın bir yansıması: Linux çekirdeğinin derinliklerinden ağ protokolü optimizasyonuna, Rust\u0026rsquo;ın bellek güvenliğinden Android modlamanın uç noktalarına kadar \u0026ndash; hepsi tek bir felsefeye hizmet ediyor: saf, hızlı ve gereksiz şişkinliklerden (bloatware) arınmış sistemler. İşe yaramayan, arkada sessizce çalışan, amaçsız hiçbir satıra tahammülüm yok; aynı disiplini Coresoft Studio\u0026rsquo;da marka ve kurumsal vizyon inşa ederken de uyguluyorum.\nMisyon Bu sitenin amacı basit: gizlilik ve dijital güvenlik üzerine ücretsiz, kaliteli eğitim sunmak, tavizsiz bir şekilde.\nBurada bulacağınız her rehber, saatlerce araştırma, test ve doğrudan deneyimin sonucudur. Sponsorlu içerik, gizli iş birlikleri veya ticari çıkarlarla yönlendirilmiş tavsiyeler bulamazsınız. Okuduklarınız, inandığım ve kişisel olarak kullandığım şeylerdir.\nUzmanlık Alanları Yıllar içinde şu konularda detaylı araştırma ve rehberler hazırladım:\nGrapheneOS \u0026ndash; Gizlilik odaklı Android işletim sistemi: Cihaz seçiminden ileri seviye yapılandırmaya ve tam Google servislerinden arındırma sürecine kadar. Self-Hosting \u0026ndash; İzleyicisiz ve reklamsız bir gezinti için WireGuard, Pi-hole ve Unbound ile kişisel VPN kurulumu. Tor Ağı \u0026ndash; Ağa katkıda bulunmak ve iletişim özgürlüğünü korumak için Tor relay yapılandırması. Tehdit Modellemesi \u0026ndash; Her gizlilik yolculuğunun ilk ve en temel adımı olan, kişiselleştirilmiş bir tehdit modelinin nasıl oluşturulacağı. Android Güvenliği \u0026ndash; Google servislerinden arındırma, uygulama yönetimi, izinler ve mobil cihazların saldırı yüzeyini daraltma pratikleri. Bu Site Ne Sunuyor Ücretsiz Rehberler Tüm rehberler tamamen ücretsizdir ve hem yeni başlayanların hem de ileri seviye kullanıcıların kolayca anlayabileceği bir dille kaleme alınmıştır. Sitenin kaynak kodu, katkıda bulunmak, düzeltmek veya içerikleri çevirmek isteyen herkes için GitHub \u0026lsquo;da mevcuttur.\nSitenin Felsefesi Bu site, savunduğu değerleri yansıtıyor:\nAnalitik yok \u0026ndash; Ziyaretçileri takip etmiyor, veri toplamıyor ve profil oluşturma çerezleri kullanmıyorum. Reklam yok \u0026ndash; Reklam, banner veya sponsorlu içerik bulunmuyor. Kayıt gerekmez \u0026ndash; E-posta adresi, hesap oluşturma veya kişisel veri talep etmiyorum. Açık kaynak \u0026ndash; Site açık kaynaklıdır; herkes projeyi inceleyebilir, katkıda bulunabilir veya çatallayabilir (fork). Katkıda Bulunun ve İletişimde Kalın Bu projeyi desteklemenin en iyi yolu paylaşmak: Telegram\u0026rsquo;da, X\u0026rsquo;te, arkadaşlarınız ve ailenizle. Ne kadar çok kişiye ulaşırsak, gizlilik kültürü o kadar güçlenir.\nBana aşağıdaki kanallardan ulaşabilir ve benimle iletişime geçebilirsiniz:\nGitHub: b4lol \u0026ndash; kaynak kodları, katkılar ve projeler Telegram: @b4lolx \u0026ndash; sorularınız, önerileriniz ve doğrudan destek için X/Twitter: @b4lolx \u0026ndash; güncellemeler ve tartışmalar Instagram: @b4ioi E-posta: admin@b4.lol \u0026ndash; gizli iletişimler için Paylaşmayı veya katkıda bulunmayı seçen herkese teşekkürler. Bu site sizin sayenizde var.\n","permalink":"https://b4.lol/tr/about/","summary":"\u003ch2 id=\"merhaba-ben-hüseyin-b4lol\"\u003eMerhaba, ben Hüseyin (b4lol)\u003c/h2\u003e\n\u003cp\u003eBana hazır bir hayat verilmesini hiçbir zaman kabul etmedim. Önüme konulan paketlenmiş sistemleri olduğu gibi tüketmek yerine, gerekirse en dipten kendi sistemimi kurmayı seçerim \u0026ndash; çünkü bir yapının mimarı sen değilsen, o yapının içinde gerçekten özgür olamazsın. Bu site, bu inancın doğal bir uzantısıdır. Bir dijital gizlilik savunucusu ve siber güvenlik araştırmacısı olarak, yıllardır insanların dijital yaşamlarının kontrolünü yeniden ellerine almalarına yardımcı olmak amacıyla ücretsiz ve erişilebilir rehberler hazırlıyorum.\u003c/p\u003e","title":"Hakkımda"}]